¿Cuándo debo comunicar una violación de datos a la Autoridad de Protección de Datos?

La notificación es la regla general, a menos que un riesgo sea improbable

Notificará una violación de datos a la autoridad de control tan pronto como sea probable que la violación suponga un riesgo para los derechos y libertades de las personas afectadas. Este es el núcleo del artículo 33 RGPD: la notificación es el punto de partida, y solo cuando sea razonable considerar que no existe riesgo, se puede omitir esa notificación. En la práctica, esto significa que la mayoría de violaciones de datos de carácter personal —un correo electrónico enviado por error con datos de clientes, una computadora portátil robada, una base de datos hackeada— están sujetas a la obligación de notificación, mientras que una violación que evidentemente no puede afectar a nadie (por ejemplo, porque los datos estaban cifrados y la clave no fue comprometida) puede quedar fuera.

Para hacer esa evaluación, considere qué sucedió exactamente, qué datos están involucrados y quién puede resultar afectado. Los datos especiales, los datos financieros o los datos de menores tienen más peso que una simple dirección de correo electrónico. El plazo de 72 horas del artículo 33 RGPD comienza a partir del momento en que se da cuenta de la violación, no desde el momento en que ocurrió —en ocasiones existe una diferencia de semanas entre ambos momentos—. Un árbol de decisión que recorra paso a paso esta ponderación nunca sustituye su propio criterio sobre la violación concreta, pero ayuda a abordar de forma estructurada la pregunta "¿está sujeto a obligación de notificación o no?".

De dónde procede esto del artículo 33 RGPD y de las directrices del EDPB

La propia obligación de notificación figura en el artículo 33 RGPD; la precisión de conceptos como "riesgo" e "inmediatamente" procede de las directrices del EDPB sobre notificación de violaciones de datos, y la Autoridad de Protección de Datos complementa esto para la práctica holandesa. El RGPD se aplica directamente en todos los Estados miembros, pero a quién notificar varía: en los Países Bajos, es la ventanilla de notificación de la Autoridad de Protección de Datos, la única autoridad de control para todo el país. En Alemania, notifica a la autoridad de control del estado federado donde tiene su establecimiento, ya que allí existen dieciséis autoridades de control estatales además de una autoridad de control federal.