Las primeras horas
- Contener la brecha: cortar la fuga, asegurar las cuentas, conservar las pruebas.
- Reunir al equipo de crisis y al delegado de protección de datos.
- Establecer cuándo tuvo conocimiento: las 72 horas corren desde entonces.
- Averiguar qué datos, cuántas personas y qué consecuencias puede haber.
Qué contiene la notificación (artículo 33.3)
- La naturaleza de la brecha, las categorías y el número aproximado de personas y registros.
- El punto de contacto.
- Las consecuencias probables.
- Las medidas adoptadas o propuestas.
Si aún no lo sabe todo
Notifique a tiempo y complete por fases, como permite el artículo 33.4. Si notifica pasadas las 72 horas, debe indicar los motivos del retraso.
La propuesta europea Digital Omnibus cambiaría la forma de notificar las brechas. Compruebe su estado frente al texto vigente del RGPD.
Cuándo informar a los afectados
El artículo 34 exige comunicárselo sin dilación indebida cuando sea probable que la brecha suponga un alto riesgo para ellos, en un lenguaje claro y con lo que pueden hacer para protegerse.
Registrar cada brecha
El artículo 33.5 exige documentar todas las brechas, incluso las no notificadas: los hechos, los efectos, las medidas y el razonamiento de su decisión.
Preguntas
- ¿Cuándo empieza el plazo de 72 horas?
- Cuando tiene conocimiento de la brecha, es decir, cuando tiene una certeza razonable de que se han visto comprometidos datos personales.
- ¿Notifican los encargados a la autoridad?
- Un encargado debe informar al responsable sin dilación indebida (artículo 33.2). El responsable notifica a la autoridad.
- ¿Hay que notificar todas las brechas?
- No: no si es improbable que supongan un riesgo para las personas. Aun así, la decisión y sus motivos deben registrarse.