Las 72 horas del artículo 33 son la cifra más conocida del Reglamento y la peor leída. Las empresas inician el plazo en el momento equivocado, envían el contenido equivocado y confunden el deber del encargado con el del responsable. Este artículo lee los artículos 33 y 34 desde el lado de una empresa de software y le entrega la página del plazo de violación que hace el cálculo y redacta la notificación.

Cuándo empieza el plazo: la constancia, no la alerta

El artículo 33, apartado 1, exige al responsable notificar una violación de la seguridad de los datos personales a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que la violación entrañe un riesgo para los derechos y libertades de las personas físicas. El plazo empieza con la constancia, y las directrices del Comité Europeo de Protección de Datos sobre violaciones dicen qué significa: debe considerarse que el responsable tiene constancia cuando tiene un grado razonable de certeza de que se ha producido un incidente de seguridad que ha comprometido datos personales. Una alerta de monitorización a las 03:00 no es constancia; el momento en que el ingeniero de guardia confirma que alguien que no debía leerlos ha leído registros de clientes, sí lo es. La investigación que produce esa certeza debe ser corta, y el considerando 87 lo dice: debe comprobarse que existen las medidas para determinar de inmediato si se ha producido una violación.

Las 72 horas no son un objetivo, son un techo. Cuando la notificación no se hace en 72 horas, el artículo 33, apartado 1, exige que vaya acompañada de los motivos de la dilación. La página del plazo de violación calcula el vencimiento desde el momento que usted introduce y, una vez pasado, dice que la regla de los motivos de la dilación se aplica ya a lo que envíe.

Qué contiene la notificación, y las fases

El artículo 33, apartado 3, fija el contenido mínimo en cuatro puntos: (a) la naturaleza de la violación, incluidas cuando sea posible las categorías y el número aproximado de interesados y de registros afectados; (b) el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto; (c) las posibles consecuencias de la violación; (d) las medidas adoptadas o propuestas para poner remedio, incluidas, si procede, las medidas para mitigar sus posibles efectos negativos. El artículo 33, apartado 4, retira después la excusa a la que recurren la mayoría de las empresas: si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, se facilitará de manera gradual sin dilación indebida. Una notificación incompleta a tiempo vale más que una completa tarde.

El artículo 33, apartado 5, es la parte que sobrevive al incidente: el responsable documenta cualquier violación, sus hechos, sus efectos y las medidas correctivas adoptadas, notificada o no, de forma que permita a la autoridad de control verificar el cumplimiento. Esa documentación es el registro del incidente, y es lo primero que una autoridad pide tras una reclamación.

El plazo propio del encargado

El artículo 33, apartado 2, da al encargado un deber distinto: notifica al responsable sin dilación indebida tras tener constancia de una violación de la seguridad de los datos personales. No hay cuenta de horas. Para una empresa SaaS es el deber que más importa, porque cada cliente cuyos datos están en el producto es un responsable cuyas 72 horas empiezan con su notificación, y el contrato de encargo suele fijar con qué rapidez se envía; la cláusula (f) del artículo 28, apartado 3 es donde vive. Un encargado que espera a terminar su propia investigación antes de avisar al cliente gasta las horas del cliente.

Los interesados: el artículo 34 y sus tres excepciones

El artículo 34, apartado 1, exige al responsable comunicar la violación a los interesados sin dilación indebida cuando sea probable que entrañe un alto riesgo para sus derechos y libertades: usurpación de identidad, fraude, pérdida financiera, discriminación, daño a la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, el considerando 85 los enumera. El artículo 34, apartado 2, fija el contenido: la naturaleza de la violación en un lenguaje claro y sencillo y al menos la información del artículo 33, apartado 3, letras b, c y d. El artículo 34, apartado 3, nombra los tres casos en que la comunicación no es necesaria: los datos estaban protegidos con medidas como el cifrado que los hacen ininteligibles para cualquier persona no autorizada a acceder a ellos; el responsable ha tomado medidas ulteriores que garantizan que ya no es probable que se concretice el alto riesgo; o la comunicación supondría un esfuerzo desproporcionado, en cuyo caso una comunicación pública informa a los interesados de manera igualmente efectiva. El artículo 34, apartado 4, permite a la autoridad de control exigir la comunicación cuando el responsable no la ha hecho.

Los plazos de al lado: NIS2, el CRA y DORA

Una empresa de software sujeta a NIS2, al CRA o con un cliente bancario sujeto a DORA hace correr un segundo plazo desde el mismo momento de constancia, con otro destinatario y otro umbral. El artículo 23 de NIS2 da a una entidad esencial o importante 24 horas para la alerta temprana, 72 horas para la notificación y un mes para el informe final, al CSIRT o a la autoridad competente, por un incidente significativo. El CRA da a un fabricante 24 horas para la alerta temprana, 72 horas para la notificación y 14 días para el informe final sobre una vulnerabilidad explotada activamente, a la plataforma de ENISA. DORA da a una entidad financiera 4 horas desde la clasificación y 24 horas desde la constancia para la notificación inicial, 72 horas para el informe intermedio y un mes para el informe final sobre un incidente grave relacionado con las TIC, que llega a su proveedor de software por la cláusula de asistencia en incidentes del contrato. El plazo del RGPD es el único de los cuatro que se activa solo con datos personales; el artículo sobre los plazos de NIS2 y el CRA lee los demás umbrales, y un solo procedimiento con dos desencadenantes y dos destinatarios los satisface todos.

La multa, y el registro

El artículo 83, apartado 4, letra a, fija el techo por una infracción de los artículos 33 y 34 en EUR 10 millones o el 2 % del volumen de negocio anual mundial. Las decisiones publicadas de las autoridades sobre notificaciones tardías giran siempre en torno a las mismas tres constataciones: cuándo empezó la constancia, si la notificación fue a tiempo o motivada, y si existe el registro del artículo 33, apartado 5. La página del plazo de violación deja por escrito las dos primeras desde el momento que usted introduce, y la notificación que produce es la tercera.