La notificación de una violación de datos a la Autoridad de Protección de Datos no cuesta nada en sí: no hay aranceles ni compensación obligatoria. Los costes están en lo que sucede alrededor: averiguar exactamente qué salió mal, informar a los interesados, posibles trabajos técnicos de reparación y el tiempo que todo esto requiere de su organización. Lo alto que sea depende en gran medida del alcance de la violación, el tipo de datos y si ya tenía un proceso en marcha antes de que algo saliera mal.
No existe una cantidad fija para «una violación de datos», porque no hay dos violaciones de datos iguales. Un correo electrónico enviado incorrectamente con datos de contacto de un cliente requiere algo diferente a una intrusión en un sistema con expedientes de personal de cien empleados. Los elementos de coste son siempre las mismas categorías; solo la magnitud varía.
De dónde proceden los costes
El primer elemento de coste es el tiempo interno: alguien tiene que averiguar qué sucedió, qué datos se vieron afectados y si el plazo legal de setenta y dos horas para la notificación a la Autoridad de Protección de Datos está a la vista. Estas horas a menudo se subestiman, especialmente si no hay un punto de contacto fijo o un proceso y varias personas están mirando el mismo incidente simultáneamente.
Además, puede ser necesaria ayuda externa: un proveedor de TI que tiene que reparar técnicamente una violación, un investigador forense en caso de intrusión más grave, o un abogado que supervise la evaluación de si y cómo se debe notificar. No toda violación de datos requiere todos estos recursos, pero en un incidente más grave estos costes aumentan rápidamente.
Informar a los interesados también requiere tiempo y a veces dinero: redactar una carta o correo electrónico cuidadosa y comprensible, responder a las preguntas que sigan, y en algunos casos ofrecer alguna forma de compensación, como un nuevo código de acceso o servicio gratuito. El árbol de decisiones en le ayuda a determinar en pocas preguntas si y cómo debe notificar para que no pierda tiempo innecesariamente en dudas.
Qué determina la cuantía
El factor más importante es la magnitud: cuántas personas se vieron afectadas y qué tan sensibles son los datos. Una violación de datos con nombres y direcciones de correo electrónico es diferente de una violación con datos financieros o datos de salud. Las directrices del EDPB y la propia RGPD mencionan este tipo de factores de riesgo como punto de partida para la evaluación, no como fórmula de cálculo de un importe.
Un segundo factor es la rapidez con que se detecta la violación y la claridad de quién es responsable de qué. Si un acuerdo con el encargado del tratamiento ya especifica qué proveedor debe ser notificado y dentro de qué plazo, eso reduce el trabajo de investigación en el momento en que algo sale mal. Si ese acuerdo no existe, el incidente en sí toma más tiempo para comprender, antes de que se comience la reparación.
Un tercer factor es si su organización ya tiene un proceso establecido: un plan de acción fijo, una lista de quién contactar y un lugar donde se registren los incidentes anteriores. Sin eso, cada incidente tiene que reinventarse quién hace qué, lo que requiere tanto tiempo como tranquilidad en un momento en que ambos escasean.
La notificación en sí es gratuita, la preparación no
Es importante mantener esta distinción clara: la obligación de notificar a la Autoridad de Protección de Datos no implica costes, pero poder cumplirla correctamente sí. Quien tiene que determinar si un incidente debe notificarse dentro del plazo legal y qué debe contener exactamente necesita tiempo para ello. Una descripción de lo que debe incluir una notificación y qué documentos necesita generalmente se describe en el banco de conocimiento con explicaciones por tema.
Muchos de estos costos no son únicos sino recurrentes, simplemente porque las brechas de datos no están planificadas y también pueden volver a ocurrir después de años. Por eso algunas organizaciones optan por dejar que el reloj, los pasos y el registro se ejecuten en un sistema en lugar de reconstruirlo manualmente cada vez. Lo que cuesta una suscripción de este tipo y qué la respalda se puede ver en la página de precios con el desglose por componente.
El registro previo ahorra trabajo posterior
El mayor ahorro de costos generalmente no está en el incidente mismo, sino en la preparación: un registro de procesamiento actualizado, acuerdos claros con proveedores y un punto de contacto fijo aseguran que una brecha de datos requiera menos tiempo para evaluar y gestionar. Las preguntas frecuentes sobre qué es y qué no es obligatorio en esto se recopilan en la página con respuestas a preguntas que otros empresarios también hacen.
¿Desea obtener una primera idea de su propia situación sobre dónde se encuentra? El escaneo rápido gratuito le da una indicación en un par de preguntas, sin necesidad de una cuenta.