TL;DR
El 5 de octubre de 2026 el Presidente de la UODO publicó indicaciones sobre el umbral de notificación del artículo 33.1, tras una serie de incidentes con accesos no autorizados a bases de datos de contrapartes y sistemas de facturación. Si solo se expusieron datos de empresarios ya públicos en el registro CEIDG (nombre, denominación, NIP, domicilio oficial), el riesgo es por lo general improbable y puede no hacer falta notificar. Si junto a ellos salieron el PESEL, detalles de compras que revelan la salud u otras categorías especiales, o información financiera, la notificación es obligatoria; con riesgo alto, también la comunicación a los interesados (artículo 34). Siempre: evaluación del riesgo documentada y motivos de la no notificación en el registro interno.
El contexto
En los últimos incidentes registrados en Polonia, el acceso ilícito no alcanzó ficheros de clientes consumidores, sino bases de datos de contrapartes y sistemas de facturación: listas de empresas y profesionales con los que se trabaja. La UODO pide a cada responsable una evaluación del riesgo rigurosa, caso por caso, cuyo resultado decide si hay obligación de notificar.
Cuándo puede no ser necesario notificar
El caso típico es el de los empresarios individuales cuyos datos expuestos coinciden con los que cualquiera puede consultar en el registro público CEIDG: nombre y apellidos, denominación, NIP y domicilio oficial de la actividad. Según la autoridad, la pérdida de confidencialidad de esos datos no ofrece, por regla general, nuevas posibilidades de perjudicar al interesado. Otros países tienen registros mercantiles equivalentes, pero la evaluación debe hacerse siempre sobre el caso concreto.
Cuándo sí es obligatoria
- PESEL, el número nacional de identificación polaco: riesgo de suplantación de identidad, fraudes y deudas contraídas a nombre del interesado.
- DETALLES DE COMPRAS O SERVICIOS que revelan la salud u otras categorías especiales: riesgo para la intimidad, discriminación, elaboración de perfiles no autorizada.
- INFORMACIÓN FINANCIERA: riesgo de fraudes y de facturas o pagos falsos.
No notificar no es no documentar
Aunque el responsable concluya que no hace falta notificar, sigue obligado a realizar y documentar la evaluación del riesgo y a indicar en el registro interno de brechas los motivos de la no notificación. El RGPD exige documentar todas las brechas, notificadas o no (artículo 33.5). Una decisión de no notificar sin rastro escrito es indefendible en una inspección.
Qué significa para el DPD
Cinco pasos ante un incidente en el programa de facturación
Uno: reconstruir exactamente qué campos quedaron expuestos, registro por registro, en lugar de razonar sobre «la base de datos» en abstracto. Dos: separar los datos ya públicos de todo lo demás (IBAN, importes, descripciones de servicios, datos de contacto personales, notas). Tres: dejar por escrito la evaluación con fecha, autor, criterios y conclusión, y reabrirla si surgen hechos nuevos. Cuatro: vigilar las 72 horas, que corren desde que se tiene conocimiento de la brecha y no desde el final del análisis. Cinco: si el incidente ocurrió en un proveedor, comprobar que informó al responsable sin dilación indebida (artículo 33.2) y que el contrato lo exige.
La lectura de la UODO es coherente con las Directrices 9/2022 del CEPD sobre notificación de brechas: el umbral no es la gravedad percibida del incidente, sino el riesgo para las personas. El valor práctico de la indicación polaca está en los ejemplos, que muestran qué convierte una lista de contrapartes en un problema que hay que notificar.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
