¿Qué hay que hacer primero si roban un portátil de la empresa?
Avisar al responsable de informática, cerrar las sesiones abiertas del portátil en el correo y en la nube, cambiar las contraseñas que tuviera guardadas y bloquearlo o borrarlo en remoto si estaba dado de alta para eso. Después, denunciar el robo y apuntar desde el principio qué se hace y a qué hora.
Minuto 0
Aviso al responsable
Apunta la hora: las 72 horas del RGPD cuentan desde que la empresa tiene constancia de la brecha.
Primera hora
Sesiones y contraseñas
Cerrar sesiones en el correo y la nube, cambiar contraseñas y bloquear o borrar el equipo en remoto si se puede.
Mismo día
Denuncia e inventario
Denuncia con el número de serie. Qué datos llevaba el portátil, si estaba cifrado y si hay copia.
Antes de 72 h
Decisión de notificar
La empresa decide si notifica a la AEPD y si avisa a las personas afectadas (RGPD, artículos 33 y 34).
Siempre
Registro de la brecha
Se notifique o no, queda documentada (RGPD, artículo 33.5).
En la primera hora
- Avisar al responsable de informática o a tu persona de contacto de seguridad.
- Cerrar las sesiones del usuario en el correo y en la nube desde la consola de administración.
- Cambiar la contraseña de su cuenta de empresa y las que tuviera guardadas en el navegador.
- Bloquear o borrar el portátil en remoto, si estaba dado de alta en una herramienta de gestión de dispositivos.
- Quitar al portátil el acceso a la VPN y a los escritorios remotos de la oficina.
El mismo día
- Denunciar el robo, con el número de serie del equipo.
- Avisar a la aseguradora, si la póliza cubre equipos o ciberriesgos.
- Listar qué datos personales llevaba y de cuántas personas.
- Comprobar si el disco estaba cifrado y si hay copia de lo que había dentro.
- Si tenía instalado el certificado digital de la empresa, pedir su revocación.
Antes de 72 horas
- Decidir si se notifica a la AEPD, con el motivo por escrito.
- Decidir si hay que avisar a las personas afectadas.
- Anotar la brecha en el registro, se notifique o no.
La política de INCIBE para portátiles de empresa pide notificar el robo o la pérdida «de manera inmediata al personal técnico responsable», y Microsoft recomienda denunciar el robo a la policía y comunicarlo a la aseguradora. Si lo que te han robado es un móvil, el borrado remoto se explica en móviles de empresa.
¿Es una brecha de datos el robo de un portátil de la empresa?
Sí, si el portátil tenía datos personales de clientes, empleados o proveedores. La AEPD lo considera una brecha de confidencialidad, por el posible acceso indebido a esos datos, y también de disponibilidad si no hay una copia que los recupere. Que sea brecha no significa que haya que notificarla: eso depende del riesgo.
Más del 20 %
de las notificaciones de brechas que recibía la AEPD eran por pérdida o robo de dispositivos portátiles, según contaba la agencia en octubre de 2019.
Un portátil de empresa rara vez está vacío de datos personales: el correo, unas nóminas descargadas, una hoja de clientes. El RGPD llama brecha a la pérdida o al acceso no autorizado a datos personales, sea accidental o provocado (artículo 4.12). La obligación general, con sus plazos, está en la guía de las 72 horas.
¿Hay que notificar a la AEPD el robo de un portátil cifrado?
Puede que no. Según la AEPD, podría no hacer falta si el disco estaba cifrado con un algoritmo fuerte, con clave robusta no comprometida, hay copia de los datos y la contraseña de inicio de sesión del portátil es robusta y nadie más la conoce. Decide la empresa.
| Situación | Notificar a la AEPD | Avisar a las personas afectadas |
|---|---|---|
| Disco cifrado, claves robustas no comprometidas y copia de los datos | Podría no hacer falta, según la AEPD. Se registra igualmente | No, si los datos son ininteligibles para quien tenga el equipo (artículo 34.3.a) |
| Disco cifrado, pero sin copia de los datos | Valorar: hay pérdida de disponibilidad. Usa Asesora Brecha | Según el riesgo para las personas |
| Disco sin cifrar y con datos personales | Sí, en 72 horas, salvo que el riesgo sea improbable | Sí, sin dilación, si el riesgo es alto |
| Clave o contraseña apuntada junto al portátil o conocida por otros | Trátalo como un disco sin cifrar | Como un disco sin cifrar |
| Sin datos personales | No es una brecha de datos personales; sí un incidente que se registra | No |
¿Cuándo hay que avisar a las personas cuyos datos llevaba el portátil robado?
Cuando sea probable un alto riesgo para sus derechos, como datos de salud, bancarios o de identidad sin cifrar. El artículo 34 del RGPD obliga entonces a avisarlas sin dilación y en lenguaje claro. No hace falta si los datos estaban cifrados y son ininteligibles para quien tenga el equipo.
| Qué incluye | Ejemplo para un portátil robado |
|---|---|
| Qué ha pasado, en lenguaje claro | El martes robaron de un coche un portátil de la empresa con tus datos de cliente |
| Un contacto para saber más | El delegado de protección de datos o la persona de contacto, con teléfono y correo |
| Las posibles consecuencias | Que alguien use tus datos para suplantarte o para engañarte por correo o por teléfono |
| Las medidas tomadas y las que recomiendas | Cuentas bloqueadas y denuncia presentada; desconfía de mensajes que te pidan datos en nuestro nombre |
Si avisar a cada persona supone un esfuerzo desproporcionado, el RGPD permite sustituirlo por una comunicación pública igual de efectiva (artículo 34.3.c). Y si la empresa no avisa, la AEPD puede exigírselo después de valorar el riesgo (artículo 34.4).
¿Cómo se decide si hay que notificar el robo de un portátil?
Con lo que se sabe del equipo: qué datos llevaba, de cuántas personas, si estaba cifrado, si hay copia y si las claves pueden estar comprometidas. La AEPD ofrece gratis Asesora Brecha para valorarlo, pero avisa de que la herramienta ayuda a decidir y la decisión corresponde siempre al responsable del tratamiento: tu empresa.
¿Llevaba datos personales?
- Sí
- Es una brecha de datos personales: sigue.
- No
- No es una brecha de datos personales. Regístralo como incidente.
¿Estaba cifrado, con claves robustas no comprometidas, y hay copia de los datos?
- Sí
- Podría no hacer falta notificar. Regístralo con el motivo.
- No
- Valora el riesgo, por ejemplo con Asesora Brecha.
¿Es improbable que suponga un riesgo para las personas?
- Sí
- No se notifica. Se documenta por qué.
- No
- Notificar a la AEPD en 72 horas desde la constancia.
¿El riesgo es alto?
- Sí
- Avisar también a las personas afectadas, sin dilación.
- No
- Basta con la notificación a la AEPD.
Si la notificación llega después de 72 horas, tiene que ir con los motivos del retraso, y si aún no se sabe todo, la información se puede dar por fases (artículo 33 del RGPD). Asesora Brecha es gratuita y la AEPD dice que borra los datos que se introducen al terminar. Si tienes asesoría de protección de datos o delegado, la decisión se toma con ellos.
¿Qué cuentas hay que revisar tras el robo de un portátil de la empresa?
Todas las que el portátil tenía abiertas o guardadas: el correo y la nube, el gestor de contraseñas, la VPN o el escritorio remoto, los programas de gestión y bancarios, y el certificado digital si estaba instalado. Primero se cierran las sesiones desde la consola de administración; después, se cambian las contraseñas.
| Cuenta o acceso | Qué hacer | Quién |
|---|---|---|
| Correo y nube en Microsoft 365 | Revocar las sesiones desde el centro de administración de Microsoft Entra y cambiar la contraseña | Quien administra Microsoft 365 |
| Correo y nube en Google Workspace | Restablecer las cookies de acceso del usuario en la consola y cambiar la contraseña | Quien administra Google Workspace |
| Gestor de contraseñas | Cerrar la sesión del equipo robado y cambiar las contraseñas importantes que guardaba | La persona, con el administrador |
| VPN y escritorio remoto | Retirar el acceso o el certificado del equipo robado | Tu informático |
| Programas de gestión y banca | Cambiar contraseñas y avisar al banco si había acceso a pagos | La persona y la dirección |
| Certificado digital de la empresa | Pedir la revocación. Si el de representante de la FNMT se fue con el portátil, hay que ir en persona a una oficina de acreditación | El representante de la empresa |
Dos matices de los fabricantes. En Google Workspace, restablecer las cookies de acceso cierra la sesión en navegadores y móviles, pero no en apps como Google Drive para ordenador. En Microsoft 365, Microsoft avisa de que puede pasar un tiempo entre revocar el acceso y que quede revocado de verdad: por eso se cambia también la contraseña.
La FNMT pide revocar el certificado si crees que ha podido copiarse, si alguien puede conocer su PIN o si lo has extraviado. Cómo se pide la revocación lo explica la guía del certificado digital de la empresa, que dice también en cuántos equipos conviene instalarlo.
¿Qué se apunta del robo de un portátil en el registro de brechas?
Qué pasó y cuándo se supo, qué datos llevaba el portátil y de cuántas personas, si estaba cifrado y había copia, qué se hizo y a qué hora, y la decisión de notificar o no, con su motivo. El artículo 33.5 del RGPD obliga a documentarlo aunque no se notifique.
| Campo | Ejemplo |
|---|---|
| Qué pasó | Robo del portátil de un comercial, de su coche, en un aparcamiento |
| Cuándo se supo | Martes, 19:40, aviso del propio comercial |
| Datos y personas | Correo de empresa y una hoja con nombre y teléfono de 230 clientes |
| Cifrado y copia | Disco cifrado con BitLocker; copia del puesto del día anterior |
| Qué se hizo | 19:55 sesiones revocadas y contraseña cambiada; 20:30 denuncia; miércoles, revisión de accesos |
| Decisión | No se notifica: disco cifrado con clave no comprometida, contraseña de inicio robusta y copia (criterio de la AEPD) |
El RGPD dice para qué sirve: esa documentación permite a la AEPD comprobar después que se cumplió el artículo 33. La AEPD lo recuerda en su texto sobre portátiles: los detalles de la brecha quedan en el registro de incidentes de la organización en cualquier caso.
¿Qué hay que tener hecho antes para que el robo de un portátil no sea un problema?
Cuatro cosas: el disco cifrado, con BitLocker en Windows o FileVault en Mac; bloqueo de pantalla con contraseña robusta; copia de los datos fuera del portátil; y un inventario de qué portátil tiene cada persona y qué datos lleva. Con las tres primeras, la AEPD contempla que el robo pueda no notificarse.
En cada portátil
- Disco cifrado: BitLocker en Windows, FileVault en Mac.
- Clave de recuperación del cifrado guardada fuera del portátil.
- Bloqueo de pantalla automático y contraseña de inicio robusta.
- Copia de los datos del puesto, con restauración probada.
En la empresa
- Inventario: qué portátil tiene cada persona, su número de serie y qué datos lleva.
- Portátiles dados de alta en una herramienta de gestión que permita bloquearlos o borrarlos en remoto.
- Doble factor en el correo y la nube, para que una contraseña guardada en el portátil no baste por sí sola.
- Este procedimiento, escrito en el plan de respuesta a incidentes.
Microsoft describe BitLocker como el cifrado de volúmenes enteros de Windows frente al robo o la pérdida del equipo. Apple explica que FileVault impide que alguien acceda a los datos del Mac sin la contraseña de inicio de sesión, y pide guardar la clave de recuperación lejos del propio Mac.
El inventario se explica en inventario de equipos, y el procedimiento del día del robo cabe en el plan de respuesta a incidentes. Si el portátil se usa fuera de la oficina, lo que necesita está en teletrabajo seguro.
En Talvit, la copia del puesto con restauración probada está en la cuota: es la condición de la copia que pide la AEPD. Si roban un portátil, tu persona de contacto te ayuda a reunir lo ocurrido y a documentarlo para que tu empresa decida sobre la notificación.
Lo que esta guía no cubre
- No es asesoramiento jurídico: la decisión de notificar es de tu empresa, con su asesoría o su delegado de protección de datos.
- No explica cómo configurar el cifrado o el borrado remoto en cada sistema.
- El robo de un móvil tiene su propia guía: móviles de empresa.
Preguntas frecuentes
¿Se puede localizar un portátil robado?
A veces. «Encontrar mi dispositivo» de Windows localiza y bloquea el equipo si se activó antes, con una cuenta personal de Microsoft. En la empresa se usa una herramienta de gestión de dispositivos. Si instalas un programa de localización, INCIBE pide comunicárselo antes a quien usa el equipo.
¿Hay que denunciar el robo del portátil?
Sí. Microsoft recomienda denunciar el robo a la policía y comunicarlo a la aseguradora, y la denuncia queda como prueba en el registro. Lleva el número de serie: está en la factura, en el inventario o, si el equipo está en una cuenta de Microsoft, en la página de dispositivos de esa cuenta.
¿Y si el portátil era del empleado y llevaba datos de la empresa?
El problema es el mismo: los datos siguen siendo responsabilidad de la empresa, y la valoración del riesgo y el registro también. Por eso conviene una norma escrita sobre qué datos de la empresa pueden ir en equipos personales y con qué medidas.
Fuentes
- AEPD, «Brechas de seguridad: protégete ante la pérdida o robo de un dispositivo portátil», 14 de octubre de 2019, consultado el
- Reglamento (UE) 2016/679 (RGPD), arts. 4.12, 33 y 34, consultado el
- AEPD, herramienta Asesora Brecha, consultado el
- INCIBE, Políticas de seguridad para la pyme: uso de dispositivos móviles corporativos, consultado el
- Soporte de Microsoft, «Encontrar y bloquear un dispositivo Windows perdido», consultado el
- Microsoft Learn, «Revocar el acceso de usuario en una emergencia en Microsoft Entra ID», consultado el
- Ayuda de Google Workspace para administradores, «Cerrar la sesión de un usuario en su cuenta de Google administrada», consultado el
- FNMT-RCM, sede electrónica: anular o revocar el certificado de representante, consultado el
- Microsoft Learn, «Información general de BitLocker», consultado el
- Soporte de Apple, «Proteger los datos del Mac con FileVault», consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
