Filtración de datos

El problema que dice venir a resolver

Quienes lo firman sostienen que la seguridad de los datos personales que guardan el Estado y las empresas se ha debilitado. Citan el ciberataque del grupo Conti contra Hacienda y la CCSS, que según ellos dejó ver sistemas antiguos, redes poco protegidas y falta de cifrado. También citan la venta en la dark web, la parte oculta de internet, de registros de habitantes con salarios, teléfonos, domicilios y fotos como las del padrón del TSE.

Afirman que la ley de protección de datos vigente no fija requisitos mínimos de seguridad, como el cifrado, y no obliga a avisar de inmediato de una filtración, lo que permite ocultarla o atrasar el aviso. Sostienen que, sin cifrado, basta con superar una barrera o con el abuso de un acceso autorizado para exponer los datos, y advierten riesgos de suplantación de identidad, estafas bancarias y extorsiones.

Qué dice el texto

• Qué hay que cifrar: Instituciones y empresas deben cifrar de extremo a extremo (protegidos en todo su recorrido) los datos personales que custodian, incluidos los de crédito, tanto guardados en servidores, nube o respaldos como mientras viajan por redes.
• Quién fija las reglas: El Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT) emitirá y actualizará los estándares mínimos de cifrado y de manejo de las llaves criptográficas, las claves que cifran y descifran los datos.
• El aviso de filtración: Quien administre una base de datos debe reportar una brecha a la Prodhab en cuestión de horas, con afectados, riesgos, estado del cifrado y medidas tomadas; si la opera un tercero, este debe alertar antes al responsable.
• Aviso a los afectados: Si la filtración pone en alto riesgo a las personas, por ejemplo con datos financieros, contraseñas o datos que faciliten la suplantación de identidad, el responsable debe avisarles directamente, en lenguaje claro y con recomendaciones.
• Las multas: Sube las multas para faltas leves, graves y gravísimas, que se calculan en salarios base de un auxiliar judicial; las gravísimas suman la suspensión temporal de la base de datos.
• Qué se castiga: Es falta gravísima guardar datos sensibles sin el cifrado exigido, causar o encubrir una filtración con intención o por negligencia inexcusable, y ocultar o falsear información sobre una brecha.
• El tiempo para adaptarse: El MICITT, las instituciones públicas y las empresas privadas con datos sensibles o de crédito reciben plazos para adaptarse; los jerarcas públicos deben presupuestar los recursos para cumplir.