La seguridad del tratamiento, las violaciones de seguridad y la evaluación de impacto

• Cuando la evaluación de impacto muestre un alto riesgo si no toma medidas para mitigarlo
• Siempre que haya hecho una evaluación de impacto, para que la autoridad de control la valide
• Cuando el delegado de protección de datos discrepe de la evaluación de impacto
• Cuando vaya a tratar a gran escala categorías especiales de datos o datos penales

La consulta previa del art. 36.1 depende del resultado de la evaluación de impacto: hay que consultar cuando esta muestra que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo. No toda evaluación se lleva a la autoridad, y una discrepancia del delegado no la desencadena. El tratamiento a gran escala de categorías especiales o de datos penales es un caso que exige hacer la evaluación de impacto, no consultar a la autoridad.

• Nada más: el esfuerzo desproporcionado le dispensa de comunicarla
• Pedir a la autoridad de control que avise ella a los interesados
• Avisar solo a los interesados cuyos datos de contacto conserve
• Optar por una comunicación pública u otra medida igual de efectiva

El esfuerzo desproporcionado libra al responsable de comunicar la violación a cada interesado, pero no de informar: el art. 34.3.c) le obliga a optar en su lugar por una comunicación pública o una medida semejante que informe a los interesados de manera igualmente efectiva. Por eso es falsa la opción de no hacer nada más. Avisar solo a una parte deja sin informar al resto, y el aviso no se traslada a la autoridad de control.

• Cuando no sea probable que entrañe un alto riesgo para los derechos y libertades
• Cuando la violación la haya causado el encargado del tratamiento
• Cuando sea improbable que constituya un riesgo para los derechos y libertades
• Cuando ya haya comunicado la violación a todos los interesados

El art. 33.1 solo dispensa de notificar cuando es improbable que la violación constituya un riesgo, de cualquier grado, para los derechos y libertades de las personas. Que el riesgo no llegue a alto no basta: un riesgo moderado sigue obligando a notificar a la autoridad, y el umbral del alto riesgo pertenece a otro deber. Que la violación se produzca en casa del encargado tampoco la traslada: el encargado avisa al responsable, y es el responsable quien notifica a la autoridad. Y avisar a los interesados no sustituye a la notificación a la autoridad.

• A la notificación a la autoridad de control de una violación de la seguridad
• A la comunicación al interesado de una violación de la seguridad de alto riesgo
• Al aviso que el encargado da al responsable de una violación de la seguridad
• A la entrega a la autoridad de imágenes que acreditan un ataque a personas o bienes

Las 72 horas del RGPD son las del art. 33.1: el responsable notifica la violación a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella. Ni la comunicación al interesado ni el aviso del encargado al responsable llevan una cifra: los dos se hacen «sin dilación indebida». La entrega de imágenes a la autoridad no es un trámite que regule el reglamento, así que no puede ser la respuesta.

• El volumen de negocio del responsable y el número de sus empleados
• Un catálogo cerrado de medidas mínimas que fija el propio Reglamento
• El máximo nivel de seguridad disponible, sea cual sea su coste
• El estado de la técnica, los costes y los riesgos del tratamiento

El art. 32.1 no impone un nivel fijo: el responsable y el encargado ajustan la seguridad al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y la probabilidad y la gravedad de los riesgos para las personas. Por eso no se exige el máximo disponible a cualquier precio, ni hay un catálogo cerrado: las medidas que enumera el artículo son ejemplos, «entre otros». El tamaño de la empresa no es el criterio.

• Antes del tratamiento, siempre que este utilice nuevas tecnologías
• Antes del tratamiento, siempre que incluya categorías especiales de datos
• Antes del tratamiento, si es probable que entrañe un alto riesgo
• Tras el primer año de tratamiento, si ha sufrido una violación de la seguridad

Lo que hace obligatoria la evaluación es la probabilidad de un alto riesgo para los derechos y libertades de las personas, por la naturaleza, el alcance, el contexto o los fines del tratamiento, y se hace antes de empezar a tratar, no después. Las nuevas tecnologías son un indicio que el art. 35.1 destaca («en particular»), pero no la exigen por sí solas. Tampoco la exige cualquier tratamiento de categorías especiales: el reglamento la pide en particular cuando se tratan a gran escala.

• Exigirle que la comunique, si estima probable un alto riesgo
• Comunicarla ella misma a los interesados, a costa del responsable
• Nada: decidir si se comunica le corresponde solo al responsable
• Publicarla en su sede electrónica en lugar del responsable

El art. 34.4 deja la última palabra a la autoridad de control: una vez considerada la probabilidad de que la violación entrañe un alto riesgo, puede exigir al responsable que la comunique o decidir que se da alguna de las condiciones que le dispensan de hacerlo. Por eso la decisión no es solo del responsable. Lo que el reglamento no prevé es que la autoridad comunique o publique la violación en su lugar: el deber de informar sigue siendo del responsable.

• A la seudonimización y el cifrado de los datos personales
• A la capacidad de restaurar con rapidez el acceso a los datos tras un incidente
• A un proceso de verificación regular de la eficacia de las medidas de seguridad
• A la confidencialidad permanente de los sistemas de tratamiento

Entre las medidas que el art. 32.1 pone como ejemplo está la capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico, y eso es lo que dan las copias: volver a tener los datos tras la avería. El cifrado y la confidencialidad impiden que alguien no autorizado lea los datos, pero no los recuperan; la verificación regular comprueba si las medidas funcionan, no repone lo perdido.

• En seis semanas desde la solicitud, prorrogables ocho más
• En ocho semanas desde la solicitud, prorrogables otras ocho
• En ocho semanas desde la solicitud, prorrogables seis más
• En un mes desde la solicitud, prorrogable dos meses más

El art. 36.2 da a la autoridad ocho semanas desde la solicitud de la consulta, y ese plazo puede prorrogarse seis semanas según la complejidad del tratamiento. Seis semanas prorrogables ocho invierte las dos cifras. Un mes es solo el plazo que tiene la autoridad para informar al responsable de la prórroga, con sus motivos, y no el de asesorarle.