¿quién es responsable de notificar una infracción de datos dentro de mi empresa

La responsabilidad recae en la organización, no en un único empleado

La RGPD establece la obligación de notificación en la organización que es responsable del tratamiento, no en un empleado individual que descubrió o causó la brecha. La RGPD no regula quién dentro de la empresa realiza efectivamente la notificación — es un asunto interno. En la práctica, suele ser el propietario, un director, o alguien específicamente designado para gestionar asuntos de privacidad, como un delegado de protección de datos si ha sido designado. En el caso de un trabajador autónomo o una pequeña empresa sin una función separada, esa responsabilidad a menudo recae naturalmente en quien dirige la empresa.

Lo que sí está establecido es que debe haber alguien que sepa que una notificación puede ser necesaria tan pronto como ocurra una brecha, y que pueda evaluar si qué se entiende exactamente por una brecha de datos es aplicable en este caso. Una empresa que no ha dejado constancia de quién se encarga de esto corre el riesgo de que se detecte una brecha pero nadie dé el siguiente paso — mientras que el plazo comienza a contar desde el momento del descubrimiento. Incluso si el tratamiento se ha externalizado a un tercero, esto no cambia quién sigue siendo responsable de la notificación: es y sigue siendo la propia organización, incluso cuando un proveedor notifica él mismo una brecha de datos.

De dónde se deriva: artículo 33 de la RGPD

El artículo 33 de la RGPD siempre se refiere al "responsable del tratamiento" como la parte que debe notificar a la autoridad supervisora, sin prescribir una función o persona interna específica; quien lo realiza de hecho depende de la propia organización. La Autoridad Neerlandesa de Protección de Datos confirma en su página sobre brechas de datos que la obligación de notificación recae en la organización y no en un empleado específico. La autoridad supervisora a la que debe dirigirse una notificación varía según el Estado miembro: en los Países Bajos es la Autoridad Neerlandesa de Protección de Datos, mientras que en otros lugares de la UE la autoridad supervisora nacional es la autoridad competente. Más información sobre los pasos a seguir y la función de la autoridad supervisora se encuentra en cuándo debe notificarse una brecha de datos a la Autoridad Neerlandesa de Protección de Datos.