Notificación de violación de datos
Una notificación de violación de datos es un requisito legal para informar a las autoridades de supervisión y, en algunos casos, a las personas afectadas cuando los datos personales se han visto comprometidos a través de una brecha de seguridad. En virtud del RGPD, los responsables del tratamiento deben notificar a su autoridad de supervisión en un plazo de 72 horas desde que tengan conocimiento de una violación que suponga un riesgo para los derechos y libertades de las personas, y notificar directamente a las personas afectadas si la violación presenta un alto riesgo.
Base jurídica
"En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea imposible que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y las libertades de las personas físicas."
— Artículo 33(1), Reglamento (UE) 2016/679 (RGPD)
"Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida."
— Artículo 34(1), Reglamento (UE) 2016/679 (RGPD)
Por qué es importante
Las obligaciones de notificación de violación de datos afectan a cualquier organización que trate datos personales en el contexto de servicios de publicidad política. Para los patrocinadores, editores y proveedores de servicios de publicidad política en virtud del Reglamento 2024/900, esto significa que cualquier acceso no autorizado, pérdida o alteración de datos personales utilizados para la segmentación o la entrega de anuncios debe notificarse rápidamente a la autoridad de protección de datos pertinente.
El plazo de notificación de 72 horas es estricto y comienza desde el momento en que la organización tiene conocimiento de la violación, no cuando termina de investigarla. Las organizaciones deben contar con procesos internos para detectar, investigar y notificar las violaciones rápidamente. No notificar puede dar lugar a multas de hasta 10 millones de euros o el 2% del volumen de negocio anual mundial en virtud del RGPD.
En el caso de la publicidad política específicamente, las violaciones que involucran datos de segmentación, perfiles de votantes o preferencias políticas son particularmente sensibles. Estas violaciones pueden exponer a las personas a manipulación, discriminación o daños por represalias, lo que hace que la notificación oportuna sea fundamental para proteger los procesos democráticos y los derechos individuales.
Puntos clave
- Los responsables del tratamiento deben notificar a su autoridad de supervisión en un plazo de 72 horas desde que tengan conocimiento de una violación, a menos que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas
- Si la violación supone un alto riesgo para las personas, se les debe notificar directamente sin dilación indebida
- Las notificaciones deben describir la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, y las medidas adoptadas para abordarla
- Los encargados del tratamiento deben notificar a los responsables inmediatamente al descubrir una violación para que los responsables puedan cumplir sus propios plazos de notificación
- Las organizaciones deben mantener documentación de todas las violaciones, incluidas las no notificadas, para demostrar el cumplimiento
- Las sanciones por no notificar pueden alcanzar los 10 millones de euros o el 2% del volumen de negocio anual mundial, la cantidad que sea mayor
Notificación de violación de datos frente a aviso de transparencia
Si bien ambas implican obligaciones de divulgación, la notificación de violación de datos y los avisos de transparencia tienen propósitos diferentes. Una notificación de violación de datos es un requisito reactivo, impulsado por incidentes, que se activa cuando se compromete la seguridad de los datos personales. Debe entregarse a las autoridades de supervisión en un plazo de 72 horas y a las personas afectadas cuando existe un alto riesgo.
Un aviso de transparencia (como el aviso de privacidad requerido en virtud de los artículos 13-14 del RGPD o el aviso de transparencia para la publicidad política en virtud del Reglamento 2024/900) es una obligación proactiva y continua de informar a las personas sobre cómo se están tratando sus datos antes o en el momento de la recogida. Los avisos de transparencia son preventivos e informativos; las notificaciones de violación son correctivas y urgentes.
| Aspecto | Notificación de violación de datos | Aviso de transparencia |
|---|---|---|
| Activador | Incidente de seguridad | Recogida/tratamiento de datos |
| Plazo | 72 horas (a la autoridad) | Antes/en el momento de la recogida |
| Destinatario | Autoridad + personas afectadas | Todos los interesados |
| Propósito | Respuesta a incidentes | Transparencia continua |
Términos relacionados
- Datos personales
- Autoridad de protección de datos
- Responsable del tratamiento
- Encargado del tratamiento
- Cumplimiento del RGPD
- Técnicas de segmentación
- Medidas de seguridad
- Autoridad de supervisión
- Aviso de privacidad
- Derechos de los interesados