¿A quién hay que notificar las brechas de datos personales?

Cuando se produzca una violación de la seguridad de los datos (brecha de datos personales), el responsable debe notificarla:

A la autoridad de protección de datos competente, a menos que sea improbable que la violación suponga un riesgo para los derechos y libertades de los afectados. La notificación de la brecha a las autoridades debe producirse sin dilación indebida y, a ser posible, dentro de las 72 horas siguientes a que el responsable tenga constancia de ella. La notificación ha de incluir un contenido mínimo:

• a. la naturaleza de la violación
• b. las categorías de datos y de interesados afectados
• c. las medidas adoptadas por el responsable para solventar la brecha
• d. si procede, las medidas aplicadas para paliar los posibles efectos negativos sobre los interesados. Además, los responsables deben documentar las brechas de datos personales sufridas sean o no comunicadas a los interesados o notificadas a la autoridad de control.

Para evaluar el riesgo que una brecha puede implicar para las personas físicas, la AEPD pone a disposición de responsables y encargados la herramienta ASESORA BRECHA que puede ser consultada en el siguiente enlace: Herramienta para evaluar la necesidad de notificar a la Autoridad de Control: ASESORA BRECHA

ASESORA BRECHA es una herramienta de ayuda que no sustituye al responsable o al encargado en la toma de decisiones con relación a la notificación de la brecha.

Para proceder al cumplimiento de la obligación de notificar las brechas de datos personales a la AEPD debe utilizarse el canal de brechas, que se encuentra en la sede electrónica de la AEPD como se muestra en el siguiente enlace: Sede Electrónica

La notificación a la AEPD no siempre es obligada, por ejemplo, cuando se tiene conocimiento de la pérdida o sustracción de un dispositivo con datos personales pero este dispositivo dispone de medidas específicas para evitar el acceso a dichos datos, como podrían ser medidas de cifrado lo suficientemente robustas para evitar la desencriptación del dispositivo de manera sencilla.

Para más información, se puede también consultar el microsite específico sobre brechas de datos en el siguiente enlace: Microsite sobre brechas de datos personales