El plazo corre desde el conocimiento, no desde el incidente
El artículo 33.1 del RGPD toma como referencia el conocimiento de la violación. Por eso son decisivos los canales de alerta internos y una detección rápida: una detección tardía por negligencia organizativa no puede justificarse ante la AEPD solo con el plazo de 72 horas.
Qué cubre el proceso guiado
- Cuenta atrás de 72 horas desde el conocimiento de la brecha, con avisos
- Registro interno de todas las brechas de seguridad (art. 33.5)
- Plantilla de notificación a la AEPD (art. 33.3)
- Plantilla de comunicación a los interesados en caso de riesgo alto (art. 34)
- Evaluación de riesgos guiada, con justificación de la decisión de notificar o no
- Archivo en el expediente del cliente, vinculado al registro y a la EIPD
La cuenta atrás corre, las plantillas están listas
En DPO Workspace, el temporizador de 72 horas arranca con el conocimiento de la brecha y permanece vinculado al registro, la EIPD y los documentos de cada cliente. Prueba gratis 30 días, sin tarjeta de crédito.
Probar gratisPreguntas frecuentes
¿Desde cuándo corren las 72 horas para notificar?
Desde el momento en que el responsable del tratamiento tiene CONOCIMIENTO de la violación de seguridad, no desde el incidente en sí (art. 33.1 RGPD). De ahí la importancia de los canales de alerta internos y de una detección rápida: el tiempo perdido antes de la detección no suspende el plazo, y una detección tardía por negligencia organizativa es en sí misma cuestionable.
¿Hay que notificar todas las brechas de seguridad?
No, solo aquellas que puedan entrañar un riesgo para los derechos y libertades de las personas físicas (art. 33.1 RGPD). Si el riesgo es alto, se añade la obligación de comunicarlo a los interesados (art. 34 RGPD).
¿Qué debe incluir la notificación a la AEPD?
La naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, el nombre y los datos de contacto del delegado de protección de datos, las posibles consecuencias y las medidas adoptadas o propuestas (art. 33.3 RGPD). Si no se dispone de toda la información en 72 horas, la notificación puede facilitarse de forma gradual.
¿Hay que documentar toda brecha, aunque no se notifique?
Sí. El artículo 33.5 del RGPD exige un registro interno de todas las violaciones, incluidas las que no deban notificarse, con los hechos, sus efectos y las medidas adoptadas — como prueba de responsabilidad proactiva ante una inspección de la AEPD.
¿Qué autoridad es competente en España?
La AEPD, con carácter general, sin perjuicio de las autoridades autonómicas competentes en Cataluña, País Vasco y Andalucía para los tratamientos dentro de su ámbito.
Brechas gestionadas sin pánico, con los plazos correctos
Temporizador, registro y plantillas para cada cliente, en un solo lugar.
Prueba gratis