Turismo:La responsabilidad ante un ciberataque.
La industria del turismo se ha transformado debido a las necesidades que nacen en un mercado globalizado; gracias al intenso proceso de transformación digital que está atravesando nuestra sociedad actual, el cliente es multicanal y los canales de venta son claramente digitales, online. Lo anterior supone grandes ventajas para el sector turístico, pero no hay que olvidar que, al mismo tiempo, se genera una fuente inagotable de información muy sensible que, sin quererlo, se encuentra ampliamente expuesta.
Ello conlleva la aparición de un nuevo escenario de riesgos, no solo económicos y reputacionales, sino también legales, debido al incremento exponencial de ataques informáticos que viene sufriendo este sector. Así, el sector hotelero se coloca en el podio como el tercer objetivo más deseado en el catalejo criminal de los hackers, tras los servicios financieros o de banca y seguros, según el Instituto Nacional de Ciberseguridad (Incibe).
Lo anterior no resulta extraño habida cuenta de las condiciones que reúne el sector: el manejo de ingentes cantidades de información relevante (no solo datos de carácter personal, sino también financieros, de inversión, etc.) y los elevados beneficios que el mismo genera, lo que no hace sino agravar el riesgo potencial de sufrir un ciberataque.
Todo lo anterior nos lleva irremediablemente a cuestionarnos la siguiente pregunta: ¿son responsables los hoteleros en caso de sufrir un ciberataque? La sombra de la duda planea sobre los eventuales daños que puedan causarse a terceros.
Y es que, en este punto, la nueva normativa nacida en el seno de la Unión Europea como el embrión para dar respuesta a las necesidades de ciberseguridad impone a las empresas nuevas obligaciones para proteger la información de sus clientes. De tal forma que, de probarse que las mismas no han obrado con la diligencia necesaria, existirían riesgos legales de diversa naturaleza: contractual, extracontractual e incluso administrativa.
Las responsabilidades contractuales y extracontractuales responden al deber general de no dañar a los terceros (alterum non laedere) del que se desprende que la responsabilidad puede nacer con total independencia de obligaciones de cualquier otro tipo que existan entre las partes, ya que el daño se produce por violación de deberes generales de conducta.
Sin embargo, el foco de atención en este escenario debe ponerse sobre la nueva normativa europea que traerá consigo el Reglamento Europeo General de Protección de Datos (RGPD), de obligatoria aplicación a partir del 25 de mayo de 2018.
Así pues, se crea un marco más exigente para las empresas, acuñándose el concepto de “accountability” por el que el hecho de garantizar la seguridad de los datos personales pasa de ser una obligación de medios a convertirse en una obligación de resultados, donde no incumplir ya no será suficiente. Además, se configura la obligación de establecer políticas de prevención y realizar evaluaciones de impacto (“Privacy Impact Assessment”) cuando, con motivo de su naturaleza, alcance, contexto o fines, existan riesgos específicos para los derechos y libertades de los interesados; así como la obligatoriedad de denunciar, sin dilación indebida, las violaciones o brechas de seguridad (“Data Breach Notification”) tanto a la Agencia Española de Protección de Datos (AEPD) como a los propios interesados.
#AEPD #LOPD #RGPD #CIBERSEGURIDAD #CIBERATAQUE.