1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.
Artículo 33 RGPD - Notificación de una violación de la seguridad de los datos personales a la autoridad de control
2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.
3. La notificación contemplada en el apartado 1 deberá, como mínimo:
a) describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
b) comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
c) describir las posibles consecuencias de la violación de la seguridad de los datos personales;
d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.
Preguntas frecuentes
Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.
El apartado 1 exige la notificación sin dilación indebida y, de ser posible, a más tardar 72 horas después de que el responsable del tratamiento haya tenido constancia de la violación, dirigida a la autoridad de control competente de conformidad con el artículo 55. Si la notificación se realiza después de las 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.
Sí. El apartado 1 exime al responsable del tratamiento cuando sea improbable que la violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. La apreciación depende del riesgo para las personas, no de la magnitud ni de la causa del incidente, y el apartado 5 sigue exigiendo que la violación se documente internamente.
Conforme al apartado 2, el encargado del tratamiento debe notificar al responsable del tratamiento sin dilación indebida las violaciones de la seguridad de los datos personales de las que tenga conocimiento. El encargado del tratamiento no tiene, en virtud del presente artículo, el deber de notificar por sí mismo a la autoridad de control, ya que la obligación de notificación frente a la autoridad recae en el responsable del tratamiento.
El apartado 3 fija un contenido mínimo. La notificación debe describir la naturaleza de la violación de la seguridad, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados afectados y de registros de datos personales afectados, comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto, describir las posibles consecuencias y describir las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad y mitigar sus posibles efectos negativos.
Sí. El apartado 4 permite que la información se facilite de manera gradual, sin dilación indebida, cuando no sea posible facilitarla simultáneamente. El responsable del tratamiento no está, por tanto, facultado para esperar a que concluya la investigación antes de efectuar una notificación inicial dentro del plazo de 72 horas.