La seguridad del tratamiento, las violaciones de seguridad y la evaluación de impacto

• Un informe del delegado de protección de datos sobre lo ocurrido
• La indicación de los motivos de la dilación
• La prueba de que ya ha avisado a todos los interesados afectados
• El acuerdo de su órgano de dirección que asume el retraso

El plazo del art. 33.1 se cumple «de ser posible», así que notificar tarde no deja de ser notificar, pero obliga a explicar el porqué: la notificación fuera de plazo va acompañada de la indicación de los motivos de la dilación. El reglamento no pide para eso un informe del delegado, ni un acuerdo de la dirección, ni haber avisado antes a los interesados, que es un deber distinto y solo nace con un alto riesgo.

• Puede publicar la de los que la requieren y debe publicar la de los que no
• Debe publicar las dos listas, sin margen para no hacerlo
• Puede publicar las dos, pero ninguna le resulta obligatoria
• Debe publicar la de los que la requieren y puede publicar la de los que no

Las dos listas no pesan igual. La de los tipos de tratamiento que requieren evaluación de impacto la autoridad de control «establecerá y publicará» (art. 35.4): es obligatoria. La de los que no la requieren «podrá asimismo» establecerla y publicarla (art. 35.5): es potestativa. Las otras opciones invierten ese reparto o igualan las dos listas.

• En seis semanas desde la solicitud, prorrogables ocho más
• En ocho semanas desde la solicitud, prorrogables otras ocho
• En ocho semanas desde la solicitud, prorrogables seis más
• En un mes desde la solicitud, prorrogable dos meses más

El art. 36.2 da a la autoridad ocho semanas desde la solicitud de la consulta, y ese plazo puede prorrogarse seis semanas según la complejidad del tratamiento. Seis semanas prorrogables ocho invierte las dos cifras. Un mes es solo el plazo que tiene la autoridad para informar al responsable de la prórroga, con sus motivos, y no el de asesorarle.

• Antes del tratamiento, siempre que este utilice nuevas tecnologías
• Antes del tratamiento, siempre que incluya categorías especiales de datos
• Antes del tratamiento, si es probable que entrañe un alto riesgo
• Tras el primer año de tratamiento, si ha sufrido una violación de la seguridad

Lo que hace obligatoria la evaluación es la probabilidad de un alto riesgo para los derechos y libertades de las personas, por la naturaleza, el alcance, el contexto o los fines del tratamiento, y se hace antes de empezar a tratar, no después. Las nuevas tecnologías son un indicio que el art. 35.1 destaca («en particular»), pero no la exigen por sí solas. Tampoco la exige cualquier tratamiento de categorías especiales: el reglamento la pide en particular cuando se tratan a gran escala.

• A la seudonimización y el cifrado de los datos personales
• A la capacidad de restaurar con rapidez el acceso a los datos tras un incidente
• A un proceso de verificación regular de la eficacia de las medidas de seguridad
• A la confidencialidad permanente de los sistemas de tratamiento

Entre las medidas que el art. 32.1 pone como ejemplo está la capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico, y eso es lo que dan las copias: volver a tener los datos tras la avería. El cifrado y la confidencialidad impiden que alguien no autorizado lea los datos, pero no los recuperan; la verificación regular comprueba si las medidas funcionan, no repone lo perdido.

• No, salvo que la autoridad de control incluya ese tratamiento en su lista
• Sí: es observación sistemática a gran escala de una zona de acceso público
• Sí, pero solo si las imágenes van a conservarse durante más de un mes
• No, porque las imágenes de las cámaras no son categorías especiales de datos

El art. 35.3 enumera tres casos en los que la evaluación de impacto se requiere en particular, y uno es la observación sistemática a gran escala de una zona de acceso público, que es lo que describen unas cámaras sobre todas las galerías de un gran centro comercial. No depende de que la autoridad de control lo incluya en su lista: esa lista añade tipos de tratamiento, no condiciona los que el reglamento ya nombra. Tampoco hace falta que se traten categorías especiales, que son otro de los tres casos y no una condición de este, y el reglamento no ata la evaluación al tiempo que se conservan las imágenes.

• Exigirle que la comunique, si estima probable un alto riesgo
• Comunicarla ella misma a los interesados, a costa del responsable
• Nada: decidir si se comunica le corresponde solo al responsable
• Publicarla en su sede electrónica en lugar del responsable

El art. 34.4 deja la última palabra a la autoridad de control: una vez considerada la probabilidad de que la violación entrañe un alto riesgo, puede exigir al responsable que la comunique o decidir que se da alguna de las condiciones que le dispensan de hacerlo. Por eso la decisión no es solo del responsable. Lo que el reglamento no prevé es que la autoridad comunique o publique la violación en su lugar: el deber de informar sigue siendo del responsable.

• A la notificación a la autoridad de control de una violación de la seguridad
• A la comunicación al interesado de una violación de la seguridad de alto riesgo
• Al aviso que el encargado da al responsable de una violación de la seguridad
• A la entrega a la autoridad de imágenes que acreditan un ataque a personas o bienes

Las 72 horas del RGPD son las del art. 33.1: el responsable notifica la violación a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella. Ni la comunicación al interesado ni el aviso del encargado al responsable llevan una cifra: los dos se hacen «sin dilación indebida». La entrega de imágenes a la autoridad no es un trámite que regule el reglamento, así que no puede ser la respuesta.

• Cuando la evaluación de impacto muestre un alto riesgo si no toma medidas para mitigarlo
• Siempre que haya hecho una evaluación de impacto, para que la autoridad de control la valide
• Cuando el delegado de protección de datos discrepe de la evaluación de impacto
• Cuando vaya a tratar a gran escala categorías especiales de datos o datos penales

La consulta previa del art. 36.1 depende del resultado de la evaluación de impacto: hay que consultar cuando esta muestra que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo. No toda evaluación se lleva a la autoridad, y una discrepancia del delegado no la desencadena. El tratamiento a gran escala de categorías especiales o de datos penales es un caso que exige hacer la evaluación de impacto, no consultar a la autoridad.