¿Cómo se actúa ante un ciberataque que filtra datos de clientes de una tienda virtual?

El RGPD exige que, ante una violación de seguridad que comprometa datos personales, el responsable notifique a la AEPD dentro de 72 horas de haber tenido constancia, salvo que sea poco probable que entrañe un riesgo para los derechos de los afectados. Si se considera un riesgo alto, también se notifica directamente a los usuarios afectados para que tomen medidas (cambiar contraseñas, vigilar movimientos bancarios). Se debe documentar la brecha, causas y acciones correctivas. El incumplimiento de estas obligaciones acarrea sanciones administrativas elevadas. Conviene contar con un protocolo de actuación ante incidentes y un registro de brechas.