Artículo 33 del RGPD: notificación de una violación de la seguridad de los datos personales a la autoridad de control

• A la notificación a la autoridad de control de una violación de la seguridad
• A la comunicación al interesado de una violación de la seguridad de alto riesgo
• Al aviso que el encargado da al responsable de una violación de la seguridad
• A la entrega a la autoridad de imágenes que acreditan un ataque a personas o bienes

Las 72 horas del RGPD son las del art. 33.1: el responsable notifica la violación a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella. Ni la comunicación al interesado ni el aviso del encargado al responsable llevan una cifra: los dos se hacen «sin dilación indebida». La entrega de imágenes a la autoridad no es un trámite que regule el reglamento, así que no puede ser la respuesta.

• Cuando no sea probable que entrañe un alto riesgo para los derechos y libertades
• Cuando la violación la haya causado el encargado del tratamiento
• Cuando sea improbable que constituya un riesgo para los derechos y libertades
• Cuando ya haya comunicado la violación a todos los interesados

El art. 33.1 solo dispensa de notificar cuando es improbable que la violación constituya un riesgo, de cualquier grado, para los derechos y libertades de las personas. Que el riesgo no llegue a alto no basta: un riesgo moderado sigue obligando a notificar a la autoridad, y el umbral del alto riesgo pertenece a otro deber. Que la violación se produzca en casa del encargado tampoco la traslada: el encargado avisa al responsable, y es el responsable quien notifica a la autoridad. Y avisar a los interesados no sustituye a la notificación a la autoridad.