Notificación de violaciones de seguridad conforme al RGPD: cuándo debe notificar en un plazo de 72 horas

Una violación de la seguridad de los datos personales es toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos. Abarca tanto un correo electrónico enviado a la persona equivocada como un ciberataque.

Notifique a la autoridad en un plazo de 72 horas, salvo que sea improbable que suponga un riesgo

El artículo 33 obliga al responsable a notificar a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de la violación, a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Si la notificación se realiza más tarde, deberá justificar el retraso.

Los encargados del tratamiento deben notificar a su responsable sin dilación indebida tras tener conocimiento de una violación de seguridad (art. 33.2).

Qué contiene la notificación

Si todavía no dispone de toda la información, puede facilitarla de manera gradual (art. 33.4).

• la naturaleza de la violación de seguridad, incluidas las categorías y el número aproximado de interesados y de registros afectados;
• el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto;
• las consecuencias probables de la violación de seguridad;
• las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos.

Informe a las personas cuando el riesgo sea alto

Cuando sea probable que la violación de seguridad entrañe un alto riesgo para las personas, también deberá informarles sin dilación indebida, en un lenguaje claro y sencillo (art. 34). No es necesario si los datos estaban cifrados y resultaban ininteligibles para el destinatario, si las medidas posteriores eliminaron el alto riesgo o si la comunicación individual supusiera un esfuerzo desproporcionado, en cuyo caso se opta por una comunicación pública.

Registre toda violación de seguridad

El artículo 33.5 le obliga a documentar toda violación de seguridad, incluidas las que decida no notificar: los hechos, sus efectos y las medidas correctivas adoptadas. El registro demuestra a la autoridad que usted evaluó cada caso.

En Estonia, las violaciones de seguridad se notifican a la Inspección de Protección de Datos (AKI). Nuestro kit RGPD incluye un procedimiento ante violaciones de seguridad con el calendario de 72 horas, un formulario de notificación y un registro de violaciones de seguridad.