¿cuáles son las consecuencias si no notifico una infracción de datos a la APD

No informar puede tener consecuencias que van más allá de la brecha misma

Quién no informa de una brecha de datos que requiere notificación a la autoridad supervisora, corre el riesgo de que esa autoridad lo descubra por sí misma y actúe sobre la base del artículo 33 del RGPD, que regula la obligación de notificación dentro del plazo mencionado en el mismo. La Autoridad de Protección de Datos y las demás autoridades supervisoras europeas tienen la competencia para investigar, formular preguntas y, en caso de constatarse una infracción, imponer una sanción. El hecho de que una brecha no se haya notificado a menudo sale a la luz precisamente porque un interesado se queja, porque los datos aparecen en otro lugar, o porque un encargado del tratamiento o un proveedor notifica la brecha y la autoridad supervisora hace más preguntas a partir de ahí — véase también qué hacer si un proveedor notifica una brecha de datos.

Además del riesgo ante la autoridad supervisora, hay otra cuestión: la falta de notificación de una brecha es independiente de la cuestión de si las personas cuyos datos se vieron afectados deben ser informadas. Esa obligación se deriva del artículo 34 del RGPD y puede subsistir incluso si la notificación a la autoridad supervisora no se ha realizado — con todos los daños a la imagen y la pérdida de confianza que pueden derivarse si luego sale a la luz. Incluso una brecha que no requiera notificación debe constar en los registros propios; véase por qué también deben registrarse las brechas de datos no notificadas.

Lo que las normas dicen al respecto

La obligación de notificar figura en el artículo 33 del RGPD, y esa obligación se aplica directamente en todos los Estados miembros de la UE. El lugar donde va la notificación varía según el país: en los Países Bajos es la Autoridad de Protección de Datos, en otros Estados miembros es la autoridad supervisora nacional de ese país — el EDPB mantiene un registro de estas autoridades supervisoras y publica directrices sobre la interpretación de la obligación de notificación. La especificación exacta de cuándo algo debe o no debe notificarse se describe en la página sobre evaluar si una brecha de datos debe notificarse.