Una violación de datos personales es una brecha de seguridad que conlleva la destrucción, pérdida, alteración, divulgación no autorizada o acceso ilícito a datos personales. No es necesario notificar todos los incidentes, pero debe poder demostrar cómo llegó a esa conclusión.
Base legal
La definición se encuentra en el artículo 4(12) del RGPD. El artículo 33 exige que el responsable del tratamiento notifique a la Autoridad de Protección de Datos neerlandesa sin dilación indebida y, a más tardar, en un plazo de 72 horas desde que tenga conocimiento de la violación, salvo que sea improbable que esta suponga un riesgo para los derechos y libertades de las personas. El artículo 34 añade la obligación de informar a las propias personas afectadas cuando el riesgo sea elevado. Los encargados del tratamiento no notifican al regulador, sino al responsable del tratamiento, y deben hacerlo sin dilación. El artículo 33(5) exige un registro de todas las violaciones, incluidas aquellas que no hayan sido notificadas.
Cómo funciona en la práctica
El plazo de 72 horas comienza a contar desde el momento en que se tiene la certeza razonable de que se ha producido un incidente de seguridad que involucra datos personales, no cuando finaliza la investigación. Por lo tanto, la notificación puede realizarse por etapas: primero lo que se sabe, luego las adiciones. La evaluación se basa en las consecuencias para el individuo: ¿involucra datos de categoría especial, combinaciones que permiten el fraude de identidad, grandes cantidades de datos o personas en una situación vulnerable? Por lo general, no es necesario notificar un portátil extraviado con un disco cifrado; casi siempre lo es un envío postal con datos de salud enviado a una dirección incorrecta.
Dónde falla
La mayoría de las medidas de control se centran en las consecuencias, más que en la infracción en sí. Las organizaciones notifican tarde porque primero quieren determinar internamente quién es el responsable, o bien omiten informar a los implicados por temor a dañar su reputación, aunque el riesgo fuera considerable. Un tercer obstáculo es la falta de un registro interno: sin él, no se puede justificar por qué no se notificó un incidente, y la evaluación simplemente no es válida.
Términos relacionados
Una violación de seguridad está directamente relacionada con el acuerdo de procesamiento de datos , que debe indicar el plazo de notificación de su proveedor, y con la Ley de Ciberseguridad holandesa , que impone un plazo más corto a ciertos sectores.
¿No está seguro de si debe notificar un incidente? Nuestros especialistas en derecho informático lo evaluarán con usted, incluso dentro del plazo de 72 horas.
