Brechas de seguridad y el delegado

Cuando se produce una violación de la seguridad de los datos personales, el responsable del tratamiento tiene que notificarlo a la autoridad de control competente. La notificación se hace sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella.

Hay una única salida: no hace falta notificar si es improbable que la violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Nótese la formulación, que es deliberadamente estrecha: no basta con que el riesgo sea pequeño, tiene que ser improbable. En la duda, se notifica.

Las 72 horas se cuentan desde que el responsable tiene constancia de la violación, no desde que la violación ocurrió. Entre las dos fechas puede haber semanas.

Avisar a la autoridad de control no siempre significa avisar a los afectados. La comunicación de la violación al interesado solo procede si entraña un alto riesgo para sus derechos y libertades.

Son dos umbrales distintos y esa asimetría es intencionada: la autoridad de control necesita conocer casi todo lo que pasa para poder supervisar, mientras que avisar a miles de ciudadanos de un incidente menor solo generaría alarma sin utilidad.

El delegado de protección de datos es la figura interna encargada de velar por el cumplimiento de la normativa. La obligación de designarlo no recae solo en el responsable del tratamiento: alcanza por igual al responsable y al encargado, en los supuestos que la norma establece.

Ese reparto es coherente con el resto del sistema. Si el encargado trata datos por cuenta de otro pero con sus propios medios y su propio personal, dejarlo fuera de la obligación abriría un agujero justo donde se concentra el tratamiento material.

Responsable y encargado, los dos. Dar por hecho que solo obliga al responsable es el error clásico de esta pregunta.

El Reglamento respalda todo lo anterior con multas administrativas de dos escalones, y las cuatro cifras se preguntan constantemente. Para las infracciones menos graves (obligaciones del responsable y del encargado, certificación, delegado), el tope es de 10.000.000 de euros o el 2 % del volumen de negocio total anual global del ejercicio anterior. Para las más graves (principios, derechos de los interesados, transferencias internacionales), el tope sube a 20.000.000 de euros o el 4 %.

En los dos escalones la regla de cierre es la misma y es la que decide la pregunta: entre la cantidad fija y el porcentaje se opta siempre por la de mayor cuantía. Para una multinacional, el porcentaje puede superar con mucho a la cifra fija.