Lo esencial: la obligación de notificación en sí no cambia
La obligación de notificación en caso de una brecha de datos se establece en el propio RGPD, con el plazo conocido de 72 horas tras el descubrimiento dirigido a la autoridad de control, y una evaluación separada sobre si también debe informarse a los interesados. Este texto forma parte de un reglamento europeo y no se modifica cada año. Según lo que se sabe actualmente, este año no hay ningún cambio en el reglamento en sí que afecte a la obligación de notificación o al plazo. Lo que sí cambia es la interpretación que rodea: cómo la Junta Europea de Protección de Datos y la autoridad de control cumplen las normas abiertas de la ley, y cómo otra legislación se alinea junto al RGPD. Para una pequeña o mediana empresa, esto es a menudo más relevante que el texto legal en sí, porque es precisamente esta interpretación la que determina cuándo se considera un incidente como sujeto a la obligación de notificación.
Por lo tanto, no se trata de recordar una nueva fecha o un nuevo número de artículo, sino de tres cambios que afectan a la práctica: directrices más estrictas sobre qué cuenta como brecha de datos, mayor solapamiento con legislación sectorial como NIS2, y una realidad diferente porque los incidentes cada vez más a menudo ocurren en un proveedor de SaaS en lugar de en la propia empresa.
Directrices que amplían los límites
El propio RGPD describe una brecha de datos en términos generales: una vulneración de la seguridad que resulta en la destrucción, pérdida, alteración o divulgación no autorizada de datos personales. Lo que esto incluye concretamente se especifica año tras año a través de directrices de la Junta Europea de Protección de Datos y la propia interpretación de la autoridad de control. Por ejemplo, en los últimos años ha habido más claridad sobre casos límite: un correo electrónico enviado incorrectamente con un archivo adjunto, un empleado que inicia sesión en una cuenta incorrecta, o una copia de seguridad que no está disponible temporalmente. Tales situaciones anteriormente se consideraban con más frecuencia como un asunto interno; la línea en las directrices es que incluso sin intención malvada de un empleado, puede haber un incidente sujeto a la obligación de notificación. Para un director o gerente de oficina, esto significa que la evaluación puede basarse menos en intuición y más en un procedimiento fijo. Si alguien duda de si un caso concreto está sujeto a la obligación de notificación, puede aclarar esto en unos pocos pasos a través del árbol de decisión de gdpria.eu, en unos pocos pasos, ver si algo es una brecha de datos sujeta a obligación de notificación.
Solapamiento con otra legislación
Un segundo cambio no está en el propio RGPD, sino en la legislación que se alinea junto a él. Para organizaciones que forman parte de, o proporcionan servicios a, sectores sujetos a legislación como NIS2, un incidente de seguridad puede caer simultáneamente bajo dos regímenes de notificación: el RGPD para los datos personales, y una obligación de notificación sectorial para el servicio en sí. Esto no afecta a todas las pequeñas y medianas empresas, pero sí a empresas de instalación, proveedores de servicios informáticos y otras partes que actúan como proveedor para una organización más grande y regulada. Para este grupo, es aconsejable verificar si un cliente u ordenante ha incluido disposiciones de notificación adicionales en el contrato, más allá de lo que ya está en el contrato de tratamiento de datos. Quien desee comprobar exactamente qué dice ese acuerdo sobre plazos de notificación y responsabilidades, encontrará información de fondo en la base de conocimientos con explicaciones por tema.
La práctica se traslada al proveedor de SaaS
El tercer cambio es menos una cuestión de regulación y más de desarrollo fáctico: una parte creciente de los incidentes que enfrentan las empresas holandesas no surgen en ellas mismas, sino en un proveedor de software que utilizan para contabilidad, asuntos de personal o contacto con clientes. Sin embargo, la responsabilidad de evaluar si eso constituye una infracción notificable de datos sigue siendo responsabilidad de la empresa que hace procesar los datos, no automáticamente del proveedor. Un proveedor que notifica un incidente por su cuenta no exime al cliente de su propia evaluación. Eso hace que sea aún más importante acordar de antemano cómo y cuándo un proveedor notifica un incidente, y encontrar ese acuerdo en su propio resumen de herramientas utilizadas. Las empresas que aún no tengan un resumen completo pueden construirlo con la ayuda de una explicación de cómo el sistema se completa a partir de herramientas conocidas.
Qué significa esto para usted
Para la mayoría de las pequeñas y medianas empresas, nada cambia este año en el plazo legal en sí. Lo que sí es prudente: probar periódicamente su propio enfoque de incidentes contra las últimas directrices, verificar si un cliente impone acuerdos de notificación adicionales, y dejar claro con los proveedores quién evalúa un incidente primero. Ninguno de estos puntos requiere un estudio legal, pero sí un momento fijo para examinarlo.
¿Quiere ver rápidamente dónde se encuentra su empresa en este aspecto? Las preguntas en el análisis rápido gratuito de gdpria.eu dan una primera indicación, y en las preguntas frecuentes sobre brechas de datos y obligación de notificación encontrará respuestas más cortas a preguntas relacionadas.