El error: esperar hasta que todo esté claro
El error más común al notificar una violación de datos no es la violación en sí, sino el momento en que una organización decide notificar. Muchas empresas quieren saber primero exactamente qué ha sucedido, qué datos se ven afectados y cuántas personas están implicadas, antes de informar a la autoridad de protección de datos. Eso parece cuidadoso, pero el RGPD pide algo diferente: el plazo de notificación de 72 horas comienza a contar desde el momento en que usted es consciente de la violación de datos, no desde el momento en que tiene todos los hechos claros.
El resultado es que el plazo ya ha transcurrido en gran medida en el momento en que internamente todos se ponen de acuerdo sobre lo que exactamente ha sucedido. Normalmente no es una cuestión de falta de voluntad, sino de desconocimiento de cómo funciona ese plazo: el RGPD permite que una notificación se complemente en fases, precisamente porque la certeza completa a menudo no se puede lograr en tres días.
Por qué este error ocurre tan a menudo
La confusión surge porque las personas confunden una violación de datos con una violación de datos sujeta a notificación. No todo incidente que implique datos personales debe notificarse a la autoridad supervisora; el RGPD distingue si existe un riesgo para los derechos y libertades de los interesados. Las empresas que no tienen este distinción clara a menudo van demasiado lejos en dos direcciones: no notifican casi nada por miedo a los problemas, o intentan obtener primero el panorama completo antes de atreverse a hacer una notificación. Ambas reacciones surgen de la incertidumbre sobre lo que la ley exactamente requiere, y esa incertidumbre a menudo se puede resolver en gran medida con algunas preguntas fijas. El árbol de decisión en en cinco preguntas ver dónde se encuentra fue creado para eso: muestra sobre la base de algunas preguntas concretas si un incidente probablemente está sujeto a la obligación de notificación, sin que primero necesite tener conocimiento jurídico.
Un segundo error que a menudo va junto a esto
Estrechamente relacionado con la notificación demasiado tardía está el olvido de la documentación propia. También una violación de datos que finalmente no notifique a la autoridad supervisora debe registrarse internamente: qué sucedió, por qué se notificó o no, y qué medidas se tomaron. Muchas organizaciones solo registran los incidentes que realmente han notificado y dejan el resto sin documentar. Con ello falta precisamente el panorama necesario para demostrar que una evaluación se ha hecho conscientemente y sobre la base de los criterios correctos, si más tarde se le pregunta al respecto.
Cómo hacer que el plazo funcione a su favor
El plazo de 72 horas no está destinado a sorprender a las organizaciones, sino a permitir advertir rápidamente a los interesados si es necesario. Esto funciona mejor si queda claro de antemano quién dentro de la organización reporta la sospecha de una violación, a quién, y qué preguntas básicas se deben hacer al respecto de forma estándar. Sin esos acuerdos, se pierde tiempo valioso averiguando quién es realmente responsable, mientras el plazo ya está corriendo.
También ayuda saber de antemano qué sistemas y proveedores procesan datos personales, para que cuando un proveedor notifique una violación, pueda estimar inmediatamente qué datos y qué interesados están implicados. Un panorama actual de las herramientas SaaS utilizadas y los acuerdos al respecto, como aparece en el registro de actividades de tratamiento de la base de conocimientos con explicaciones por tema en la práctica ahorra mucho trabajo de investigación en el momento en que cuenta.
Lo que puede documentar de antemano
Lo fundamental es que una notificación no necesita estar completa para ser puntual. Una notificación inicial con los hechos conocidos, seguida de una adición una vez que haya más claridad, está dentro de lo que el RGPD permite. Las organizaciones que lo saben de antemano y tienen un procedimiento fijo y corto para ello, tienen menos probabilidad de cometer el error de esperar demasiado tiempo. Lo que también ayuda es claridad sobre dónde se encuentran los datos sensibles y cómo están protegidos, para que una sospecha de violación pueda evaluarse más rápidamente en términos de gravedad; la página sobre cómo se protegen los datos dentro del sistema da una idea al respecto.
Si un incidente específico en su organización es notificable y cómo documentarlo de la mejor manera es, en última instancia, una decisión que usted toma, posiblemente con un abogado o en consulta con la Autoridad de Protección de Datos. gdpria.eu proporciona orientación y una evaluación estructurada inicial, no asesoramiento jurídico.
¿Desea saber dónde están los puntos de atención en su caso? El análisis rápido gratuito y las respuestas a preguntas frecuentes le dan una visión inicial en unos pocos minutos, sin necesidad de cuenta.