El RGPD prescribe que una violación de datos que pueda entrañar un riesgo para los interesados debe notificarse a la autoridad de control tan pronto como usted tenga conocimiento de ella. El plazo para ello es breve: 72 horas. Si no notifica, o notifica con retraso, en ese punto usted no cumple una obligación del RGPD. Lo que eso significa en concreto depende de la situación, y eso es precisamente sobre lo que nosotros como redacción no nos pronunciamos: eso depende de usted, su abogado o la autoridad de control.
Lo que sí es posible describir es lo siguiente: el RGPD otorga a la autoridad de control competencias para investigar una violación de datos que no se ha notificado o se ha notificado con retraso, y para responder a ello. Qué respuesta es esa y si se produce, no está determinado y no es predecible. Para usted como empresario, la pregunta no es tanto "cuál es la sanción", sino "qué debo organizar para poder evaluar a tiempo si es necesaria una notificación".
Qué exige exactamente la obligación de notificación
El RGPD distingue entre una notificación a la autoridad de control y una notificación a los propios interesados. La primera procede en caso de violación que pueda entrañar un riesgo; la segunda, una variante más grave, procede en caso de riesgo alto. Ambas evaluaciones deben realizarse rápidamente, y el plazo de 72 horas para la autoridad de control corre desde el momento en que usted descubre la violación, no desde el momento en que se produjo. Quien aún no tenga claro esa distinción puede repasarla en algunas preguntas: en cinco preguntas ver dónde se encuentra proporciona directamente una indicación de si procede una notificación.
El núcleo del problema en una notificación tardía suele no ser falta de voluntad, sino tiempo que se pierde en aclaraciones: quién debe ocuparse de esto, ¿es realmente una violación de datos en el sentido del RGPD?, y ¿tenemos realmente un inventario de qué sistemas contienen datos personales. Este último es precisamente donde un registro de actividades de tratamiento demuestra su valor: sin un inventario de sus tratamientos, averiguar el alcance de una violación consume innecesariamente muchas de las 72 horas de que dispone.
También debe poder justificar el hecho de no notificar
Un aspecto menos conocido es que el RGPD también exige documentar cuándo decide no notificar una violación, y por qué. La obligación de rendición de cuentas se aplica a la propia evaluación, no solo a la notificación si esta se produce. Una violación que usted evalúa como "sin riesgo para los interesados" y de la que no documenta esa evaluación en ningún lugar es difícil de justificar posteriormente si se le pregunta al respecto. Las directrices del EDPB se ocupan exhaustivamente de esto; la fuente y la explicación se encuentran en la base de conocimientos por tema.
Consecuencias que van más allá de la autoridad de control
Fuera de la relación con la autoridad de control, hay otros dos lugares donde una notificación omitida puede causar problemas. El primero es el contrato de encargo de tratamiento: si usted trata datos personales de un cliente, a menudo contiene un plazo de notificación específico, a veces más corto que las 72 horas legales, y ese plazo se aplica además del RGPD. El segundo es el propio interesado: alguien cuyos datos se han visto comprometidos y que se entera por su cuenta sin que usted haya notificado no puede recuperar esa confianza, lo que es independiente de cualquier evaluación jurídica.
También un asegurador o una entidad adjudicadora que posteriormente pregunta cómo se gestionó una violación, observa si se evaluó a tiempo y, cuando fue necesario, se notificó. Eso es algo diferente a una sanción, pero afecta a lo que a menudo es el motivo para poner orden en la privacidad: demostrar que existe un proceso, no solo que nunca ha ocurrido nada malo.
Por qué el plazo es a menudo el cuello de botella
En la práctica, rara vez es la falta de voluntad de notificar la que falta, sino la velocidad con la que una organización puede determinar qué ha sucedido, qué datos afecta y quién está involucrado. Un sistema que pone en marcha el reloj de 72 horas tan pronto como se registra una posible brecha evita que ese tiempo se pierda en discusiones internas. Cómo se estructura tal sistema y en qué información se basa se describe en la página sobre de dónde viene la información.
Si un incidente específico en su caso está sujeto a obligación de notificación, qué plazo exacto se aplica en su situación y cuáles son las consecuencias si falta una notificación, no puede responderse en términos generales. Para esa evaluación, un abogado o la Autoridad de Protección de Datos en sí misma es el punto de contacto indicado.
¿Desea primero hacerse una idea de dónde se encuentra, sin obligaciones? El análisis rápido gratuito y la base de conocimientos dan una primera indicación por tema, incluida la ubicación en el texto oficial.