Seguridad, brechas y notificación de incidentes

Seguridad del tratamiento

El artículo 32 exige medidas técnicas y organizativas apropiadas al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Por ejemplo, la seudonimización y el cifrado; la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas; la capacidad de restaurar rápidamente el acceso a los datos tras un incidente; y la verificación periódica de la eficacia de las medidas.

Violaciones de la seguridad de los datos

Una violación de la seguridad de los datos personales es toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos, o su comunicación o acceso no autorizados. El responsable la notifica a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, salvo que sea improbable que suponga un riesgo para las personas (artículo 33). Si es probable que entrañe un alto riesgo, también debe comunicarse a los interesados sin dilación indebida (artículo 34). El encargado notifica al responsable sin dilación indebida. Toda brecha, notificada o no, debe documentarse.

Regímenes de notificación paralelos

Un mismo incidente puede activar varios plazos. Con NIS2, las entidades esenciales e importantes envían una alerta temprana de un incidente significativo en 24 horas, una notificación en 72 horas y un informe final en un mes. DORA establece su propia notificación de incidentes graves relacionados con las TIC para las entidades financieras, y el Cyber Resilience Act obliga a los fabricantes a notificar las vulnerabilidades explotadas activamente y los incidentes graves a través de la plataforma única de notificación de ENISA, empezando por una alerta temprana en 24 horas. El DPD debe asegurarse de que el plan de incidentes recoja cada plazo aplicable y quién decide.