La seguridad del tratamiento, las violaciones de seguridad y la evaluación de impacto

El art. 33.1 solo dispensa de notificar cuando es improbable que la violación constituya un riesgo, de cualquier grado, para los derechos y libertades de las personas. Que el riesgo no llegue a alto no basta: un riesgo moderado sigue obligando a notificar a la autoridad, y el umbral del alto riesgo pertenece a otro deber. Que la violación se produzca en casa del encargado tampoco la traslada: el encargado avisa al responsable, y es el responsable quien notifica a la autoridad. Y avisar a los interesados no sustituye a la notificación a la autoridad.

La consulta previa del art. 36.1 depende del resultado de la evaluación de impacto: hay que consultar cuando esta muestra que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo. No toda evaluación se lleva a la autoridad, y una discrepancia del delegado no la desencadena. El tratamiento a gran escala de categorías especiales o de datos penales es un caso que exige hacer la evaluación de impacto, no consultar a la autoridad.

Entre las medidas que el art. 32.1 pone como ejemplo está la capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico, y eso es lo que dan las copias: volver a tener los datos tras la avería. El cifrado y la confidencialidad impiden que alguien no autorizado lea los datos, pero no los recuperan; la verificación regular comprueba si las medidas funcionan, no repone lo perdido.

Lo que hace obligatoria la evaluación es la probabilidad de un alto riesgo para los derechos y libertades de las personas, por la naturaleza, el alcance, el contexto o los fines del tratamiento, y se hace antes de empezar a tratar, no después. Las nuevas tecnologías son un indicio que el art. 35.1 destaca («en particular»), pero no la exigen por sí solas. Tampoco la exige cualquier tratamiento de categorías especiales: el reglamento la pide en particular cuando se tratan a gran escala.

El plazo del art. 33.1 se cumple «de ser posible», así que notificar tarde no deja de ser notificar, pero obliga a explicar el porqué: la notificación fuera de plazo va acompañada de la indicación de los motivos de la dilación. El reglamento no pide para eso un informe del delegado, ni un acuerdo de la dirección, ni haber avisado antes a los interesados, que es un deber distinto y solo nace con un alto riesgo.

El art. 34.4 deja la última palabra a la autoridad de control: una vez considerada la probabilidad de que la violación entrañe un alto riesgo, puede exigir al responsable que la comunique o decidir que se da alguna de las condiciones que le dispensan de hacerlo. Por eso la decisión no es solo del responsable. Lo que el reglamento no prevé es que la autoridad comunique o publique la violación en su lugar: el deber de informar sigue siendo del responsable.

El art. 32.1 no impone un nivel fijo: el responsable y el encargado ajustan la seguridad al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y la probabilidad y la gravedad de los riesgos para las personas. Por eso no se exige el máximo disponible a cualquier precio, ni hay un catálogo cerrado: las medidas que enumera el artículo son ejemplos, «entre otros». El tamaño de la empresa no es el criterio.