[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:es:el-plazo-de-72-horas-del-rgpd-para-una-empresa-de-software-cuando-lo-inicia-la-constancia-que-contiene-la-notificacion-el-plazo-propio-del-encargado-y-los-plazos-de-al-lado":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"es","el-plazo-de-72-horas-del-rgpd-para-una-empresa-de-software-cuando-lo-inicia-la-constancia-que-contiene-la-notificacion-el-plazo-propio-del-encargado-y-los-plazos-de-al-lado","El plazo de 72 horas del RGPD para una empresa de software: cuándo lo inicia la constancia, qué contiene la notificación, el plazo propio del encargado, y los plazos de NIS2, el CRA y DORA de al lado","El artículo 33 da al responsable 72 horas desde que tiene constancia de una violación de datos personales para notificarla a la autoridad de control, y la mayoría de las empresas se equivocan en el inicio, en el contenido o en el rol. Cuándo empieza la constancia según las directrices del CEPD y el considerando 87, los cuatro contenidos del artículo 33, apartado 3, las fases del artículo 33, apartado 4, la regla de los motivos de la dilación, el deber del encargado de notificar al responsable sin dilación indebida, la comunicación a los interesados conforme al artículo 34 y sus tres excepciones, y los plazos de NIS2, el CRA y DORA que una empresa de software puede tener corriendo desde el mismo momento. Con la página gratuita que calcula el plazo y redacta la notificación.","2026-09-12",{"who":10,"when":11,"do":12},"Toda empresa de software que guarda datos personales: como responsable de sus propios datos de clientes y personal debe ella misma la notificación en 72 horas; como encargada de los datos de sus clientes dentro del producto debe al cliente una notificación sin dilación indebida, que inicia el plazo del cliente.","El plazo corre desde el momento en que se tiene constancia, un grado razonable de certeza de que se ha producido una violación, no desde la primera alerta; la notificación se debe en 72 horas, por fases cuando sea necesario, con los motivos de cualquier dilación; a los interesados se les informa sin dilación indebida cuando el riesgo para ellos es alto.","Introduzca el momento en que tuvo constancia en la página gratuita del plazo de violación: calcula el vencimiento en su zona horaria, dice si se aplica la regla de los motivos de la dilación y redacta la notificación con los cuatro contenidos del artículo 33, apartado 3, para copiar o descargar.","\nLas 72 horas del artículo 33 son la cifra más conocida del Reglamento y la peor leída. Las empresas inician el plazo en el momento equivocado, envían el contenido equivocado y confunden el deber del encargado con el del responsable. Este artículo lee los artículos 33 y 34 desde el lado de una empresa de software y le entrega la [página del plazo de violación](\u002Fgdpr\u002Fbreach-clock) que hace el cálculo y redacta la notificación.\n\n## Cuándo empieza el plazo: la constancia, no la alerta\n\nEl artículo 33, apartado 1, exige al responsable notificar una violación de la seguridad de los datos personales a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que la violación entrañe un riesgo para los derechos y libertades de las personas físicas. El plazo empieza con la constancia, y las directrices del Comité Europeo de Protección de Datos sobre violaciones dicen qué significa: debe considerarse que el responsable tiene constancia cuando tiene un grado razonable de certeza de que se ha producido un incidente de seguridad que ha comprometido datos personales. Una alerta de monitorización a las 03:00 no es constancia; el momento en que el ingeniero de guardia confirma que alguien que no debía leerlos ha leído registros de clientes, sí lo es. La investigación que produce esa certeza debe ser corta, y el considerando 87 lo dice: debe comprobarse que existen las medidas para determinar de inmediato si se ha producido una violación.\n\nLas 72 horas no son un objetivo, son un techo. Cuando la notificación no se hace en 72 horas, el artículo 33, apartado 1, exige que vaya acompañada de los motivos de la dilación. La [página del plazo de violación](\u002Fgdpr\u002Fbreach-clock) calcula el vencimiento desde el momento que usted introduce y, una vez pasado, dice que la regla de los motivos de la dilación se aplica ya a lo que envíe.\n\n## Qué contiene la notificación, y las fases\n\nEl artículo 33, apartado 3, fija el contenido mínimo en cuatro puntos: (a) la naturaleza de la violación, incluidas cuando sea posible las categorías y el número aproximado de interesados y de registros afectados; (b) el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto; (c) las posibles consecuencias de la violación; (d) las medidas adoptadas o propuestas para poner remedio, incluidas, si procede, las medidas para mitigar sus posibles efectos negativos. El artículo 33, apartado 4, retira después la excusa a la que recurren la mayoría de las empresas: si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, se facilitará de manera gradual sin dilación indebida. Una notificación incompleta a tiempo vale más que una completa tarde.\n\nEl artículo 33, apartado 5, es la parte que sobrevive al incidente: el responsable documenta cualquier violación, sus hechos, sus efectos y las medidas correctivas adoptadas, notificada o no, de forma que permita a la autoridad de control verificar el cumplimiento. Esa documentación es el registro del incidente, y es lo primero que una autoridad pide tras una reclamación.\n\n## El plazo propio del encargado\n\nEl artículo 33, apartado 2, da al encargado un deber distinto: notifica al responsable sin dilación indebida tras tener constancia de una violación de la seguridad de los datos personales. No hay cuenta de horas. Para una empresa SaaS es el deber que más importa, porque cada cliente cuyos datos están en el producto es un responsable cuyas 72 horas empiezan con su notificación, y el contrato de encargo suele fijar con qué rapidez se envía; la [cláusula (f) del artículo 28, apartado 3](\u002Fgdpr\u002Fprocessor-terms) es donde vive. Un encargado que espera a terminar su propia investigación antes de avisar al cliente gasta las horas del cliente.\n\n## Los interesados: el artículo 34 y sus tres excepciones\n\nEl artículo 34, apartado 1, exige al responsable comunicar la violación a los interesados sin dilación indebida cuando sea probable que entrañe un alto riesgo para sus derechos y libertades: usurpación de identidad, fraude, pérdida financiera, discriminación, daño a la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, el considerando 85 los enumera. El artículo 34, apartado 2, fija el contenido: la naturaleza de la violación en un lenguaje claro y sencillo y al menos la información del artículo 33, apartado 3, letras b, c y d. El artículo 34, apartado 3, nombra los tres casos en que la comunicación no es necesaria: los datos estaban protegidos con medidas como el cifrado que los hacen ininteligibles para cualquier persona no autorizada a acceder a ellos; el responsable ha tomado medidas ulteriores que garantizan que ya no es probable que se concretice el alto riesgo; o la comunicación supondría un esfuerzo desproporcionado, en cuyo caso una comunicación pública informa a los interesados de manera igualmente efectiva. El artículo 34, apartado 4, permite a la autoridad de control exigir la comunicación cuando el responsable no la ha hecho.\n\n## Los plazos de al lado: NIS2, el CRA y DORA\n\nUna empresa de software sujeta a NIS2, al CRA o con un cliente bancario sujeto a DORA hace correr un segundo plazo desde el mismo momento de constancia, con otro destinatario y otro umbral. El artículo 23 de NIS2 da a una entidad esencial o importante 24 horas para la alerta temprana, 72 horas para la notificación y un mes para el informe final, al CSIRT o a la autoridad competente, por un incidente significativo. El CRA da a un fabricante 24 horas para la alerta temprana, 72 horas para la notificación y 14 días para el informe final sobre una vulnerabilidad explotada activamente, a la plataforma de ENISA. DORA da a una entidad financiera 4 horas desde la clasificación y 24 horas desde la constancia para la notificación inicial, 72 horas para el informe intermedio y un mes para el informe final sobre un incidente grave relacionado con las TIC, que llega a su proveedor de software por la cláusula de asistencia en incidentes del contrato. El plazo del RGPD es el único de los cuatro que se activa solo con datos personales; el [artículo sobre los plazos de NIS2 y el CRA](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant) lee los demás umbrales, y un solo procedimiento con dos desencadenantes y dos destinatarios los satisface todos.\n\n## La multa, y el registro\n\nEl artículo 83, apartado 4, letra a, fija el techo por una infracción de los artículos 33 y 34 en EUR 10 millones o el 2 % del volumen de negocio anual mundial. Las decisiones publicadas de las autoridades sobre notificaciones tardías giran siempre en torno a las mismas tres constataciones: cuándo empezó la constancia, si la notificación fue a tiempo o motivada, y si existe el registro del artículo 33, apartado 5. La [página del plazo de violación](\u002Fgdpr\u002Fbreach-clock) deja por escrito las dos primeras desde el momento que usted introduce, y la notificación que produce es la tercera.\n",1789383971593]