¿Es un correo electrónico enviado al destinatario equivocado una violación de datos?

Un correo electrónico enviado incorrectamente puede ser una infracción de datos

Un correo electrónico que llega al destinatario equivocado se ajusta a la definición de infracción de datos que establece el RGPD: se produce una infracción de la seguridad que da lugar a la divulgación no deseada de datos personales a alguien que no tiene derecho a acceder a ellos. Ya sea un currículum, una factura con una dirección o un memorándum interno con nombres — en cuanto los datos personales llegan a la persona equivocada, la calificación de «infracción de datos» es en principio pertinente.

Que algo sea una infracción de datos no significa automáticamente que tenga que notificarse. El artículo 33 del RGPD vincula la obligación de notificación a la autoridad de supervisión con el riesgo que supone la infracción para los derechos y libertades del interesado: qué sensibilidad tienen los datos, cuántas personas se han visto afectadas, y si el correo electrónico se recuperó o permaneció sin abrir. Un correo electrónico enviado incorrectamente que solo contiene un nombre y una hora de cita se valora de manera diferente a un correo electrónico con datos financieros o información de salud enviado a un gran grupo de destinatarios equivocados. La organización que cometió el error realiza esa evaluación por sí sola, y también decide por sí sola si notifica.

Esto se deduce del artículo 33 del RGPD

La definición de infracción de la seguridad de los datos personales y el vínculo con la obligación de notificación en el plazo de 72 horas se encuentran en el artículo 33 del RGPD; la Autoridad de Protección de Datos de Países Bajos desarrolla en su página sobre la notificación de infracciones de datos cómo se realiza esa evaluación de riesgos en la práctica. El RGPD se aplica como reglamento directamente en cada Estado miembro, por lo que este núcleo es igual en todas partes — lo que varía es dónde se notifica. En los Países Bajos es la Autoridad de Protección de Datos de Países Bajos, como única autoridad de supervisión nacional. En Alemania es diferente: allí una organización notifica a la autoridad de supervisión del Land donde está establecida, y hay dieciséis autoridades de supervisión de los Länder además de la BfDI federal.