Nos llega desde Estados Unidos la noticia de que Uber se ha visto obligada a cerrar un acuerdo millonario con las fiscalías de todos los estados debido a una fuga masiva de datos personales, producida en el año 2016, y haberla ocultado.
Además, dicho acuerdo pasa por imponer a la Compañía “desarrollar, implementar y mantener” un programa de seguridad supervisado por un cargo específico dentro de la entidad que reporte directamente al Consejo de Administración, algo nunca impuesto hasta ahora por las autoridades en esta materia.
Tal ha sido la trascendencia de lo ocurrido, que el actual Primer Ejecutivo de Uber se ha visto obligado tanto a comunicar públicamente el despido del que fuera jefe de seguridad, como a admitir que “No hay excusas” para lo sucedido lanzando un compromiso de aprendizaje sobre los errores que tantos perjuicios han causado pues los datos robados ascendían a 25.6 millones de nombres y direcciones.
¿Una gran Compañía que admite fallos y comunica públicamente una brecha de seguridad? Sí, de no hacerlo, podría perder la confianza de los usuarios y ello se traduce en pérdidas millonarias pero, este tipo de comunicaciones en momentos de crisis, no son improvisadas. Detrás existe un gabinete de comunicación o comité de crisis con una estructura configurada para poner en marcha un protocolo de actuación ante estas situaciones.
Estos gabinetes son esenciales y no entran en juego únicamente en el momento en el que surge la crisis con el fin de minimizar el impacto público de la noticia, de manera inmediata, sino que actúan de manera previsora con carácter permanente manejando qué información se dará, cómo y de qué forma se puede controlar el mensaje lanzado sobre todo en redes sociales.
Las empresas españolas responsables de tratamiento de datos deben valorar que, con la legislación actual, cuentan con 72 horas para notificar esta brecha de seguridad a la autoridad de control competente, en este caso la AEPD. Este plazo contará desde que se tuvo conocimiento del evento por lo que la ocultación del mismo, además de suponer la existencia de dolo en dicha actuación, implicará unas sanciones económicas que pueden llegar hasta 10.000.000 de Euros o 2 % de volumen anual de negocio por incumplimiento de dicha obligación legal.
