¿Debo informar personalmente a los interesados sobre una violación de datos?

En caso de alto riesgo para los interesados, existe la obligación

Sí, cuando una violación de seguridad de datos probablemente genera un alto riesgo para los derechos y libertades de las personas cuyos datos se ven afectados, existe la obligación de informar a esos interesados directamente. Esto es independiente de la notificación a la autoridad de control, que ya debe realizarse dentro de 72 horas con un umbral más bajo —simplemente «riesgo». En la comunicación con el interesado mismo, el umbral es más alto: se trata de situaciones en las que, sin intervención, pueden producirse consecuencias adversas graves, como fraude de identidad, daño financiero o daño reputacional. El interesado recibe entonces información en lenguaje claro y sencillo sobre qué ha sucedido, cuáles son las consecuencias previsibles, cuál es el punto de contacto para obtener más información y qué medidas se han tomado o se tomarán para limitar el daño.

Existen excepciones en las que cesa esta obligación de información individual. Esto ocurre cuando medidas de seguridad apropiadas —como el cifrado— hicieron incomprensibles los datos para quien no tenía derecho a acceder a ellos, cuando medidas adoptadas posteriormente hacen improbable que el alto riesgo se concrete, o cuando informar a cada interesado individualmente requeriría un esfuerzo desproporcionado. En este último caso, puede utilizarse una comunicación pública o una medida equivalentemente efectiva en lugar del contacto individual con cada interesado.

La base: artículo 34 RGPD, junto con el artículo 33

Esta obligación se deriva del artículo 34 del RGPD, que regula la obligación de información individual junto al artículo 33, que se refiere a la notificación a la autoridad de control —dos obligaciones separadas, cada una con su propio umbral. Qué se entiende exactamente por violación de seguridad de datos y cómo se realiza la evaluación de riesgos se explica en la página de la Autoridad de Protección de Datos sobre violaciones de seguridad. La obligación del artículo 34 es la misma en toda la UE porque el RGPD se aplica directamente; solo la ruta de notificación a la autoridad de control varía según el país —en los Países Bajos a la Autoridad de Protección de Datos, en Alemania a la autoridad de control del estado federado donde está establecida la organización.