El reglamento no tipifica ninguna infracción ni fija ningún importe: regula el procedimiento de notificación y nada más. Quien sanciona es cada Estado miembro, con la habilitación del artículo 4, apartado 4, de la Directiva 2002/58/CE, que permite a las autoridades nacionales controlar el cumplimiento del deber de notificar e imponer sanciones apropiadas.

Las 24 horas no son un plazo absoluto: el artículo 2.2 las condiciona con un «en la medida de lo posible» que el resto del artículo desarrolla en una cascada. Y el reloj no arranca con la sospecha. El párrafo tercero de ese mismo apartado define cuándo se considera detectado el caso, y el considerando 8 lo refuerza: no basta sospechar, ni detectar un incidente de seguridad sin información suficiente sobre él. Esa definición es la que decide de verdad el cumplimiento del plazo, porque fija el instante desde el que se cuenta. El aviso al abonado corre por su cuenta: el artículo 3.3 dice expresamente que no depende de la notificación a la autoridad, así que no cabe esperar a que la autoridad conteste. Cuando la violación alcanza a abonados de otros Estados miembros, quien informa a las demás autoridades es la autoridad que recibió la notificación, no el proveedor.

Notificación de toda violación de datos personales a la autoridad nacional competente

Plazo

En la medida de lo posible, dentro de las 24 horas siguientes a la detección

Desde cuándo corre

Desde la detección, que el reglamento define: cuando el proveedor tiene conocimiento suficiente de que se ha producido un incidente de seguridad que compromete datos personales para efectuar una notificación válida

Art. 2, apdos. 1 y 2

Segunda notificación cuando la inicial se envió sin toda la información del anexo I

Plazo

Lo antes posible y, a más tardar, dentro de los tres días siguientes a la notificación inicial

Desde cuándo corre

Desde la notificación inicial, no desde la detección ni desde el incidente

Art. 2.3, párrafo primero

Información restante cuando ni en tres días se ha podido reunir todo

Plazo

Dentro de los tres días se envía lo que se tenga, con justificación motivada de la tardanza; el resto, en el plazo más breve posible

Desde cuándo corre

Desde que vence el plazo de tres días sin disponer de toda la información del anexo I

Art. 2.3, párrafo segundo

Aviso al abonado o particular cuando la violación pueda afectarle negativamente

Plazo

Sin dilación injustificada tras la detección

Desde cuándo corre

Desde la misma detección que dispara el plazo de la autoridad, valorando la naturaleza de los datos, las consecuencias posibles para el afectado y las circunstancias de la violación

Art. 3, apdos. 1, 2 y 3

Anuncio en medios cuando no se logra identificar a todos los particulares afectados

Plazo

Dentro del mismo plazo del aviso individual, que sigue debiéndose después

Desde cuándo corre

Desde que el proveedor constata que, pese a haber hecho todo lo posible, no puede identificar a todos los particulares dentro del plazo. Es una facultad, no un deber

Art. 3.7

Aviso del proveedor contratado al proveedor que le contrató

Plazo

Inmediatamente

Desde cuándo corre

Desde la violación de datos personales, sin más condición

Art. 5

Autoridad nacional competente

Cuándo

Toda violación de datos personales, en 24 horas y con segunda notificación en tres días

En España

La Agencia Española de Protección de Datos. La designación está en el artículo 60.3 de la Ley 11/2022, que ordena notificarle las violaciones de datos personales y le permite dictar directrices e instrucciones sobre cuándo, con qué formato y cómo se notifica, «con pleno respeto a las disposiciones que en su caso sean adoptadas en esta materia por la Comisión Europea», que son precisamente estas.

Agencia Española de Protección de Datos ↗

Art. 2

Abonado o particular afectado

Cuándo

Cuando la violación pueda afectar negativamente a sus datos personales o a su intimidad

En España

Lo avisa el proveedor directamente, por vías que garanticen una pronta recepción y sean seguras conforme al estado de la técnica. La autoridad puede exigir el aviso si el proveedor no lo ha hecho, y puede autorizar retrasarlo cuando comprometa la investigación.

Art. 3

Medios de comunicación nacionales o regionales

Cuándo

Cuando no se ha logrado identificar a todos los particulares afectados dentro del plazo

En España

Es una facultad del proveedor, no una obligación, y no cierra el expediente: hay que seguir identificando a los particulares y avisarles individualmente lo antes posible.

Art. 3.7

Proveedor contratante, aguas arriba de la cadena

Cuándo

Cuando la violación la sufre un proveedor contratado sin relación con el abonado

En España

El aviso es inmediato y sustituye a cualquier otro deber del subcontratado: quien notifica a la Agencia Española de Protección de Datos es siempre el proveedor con relación contractual directa con el abonado.

Art. 5

Proveedor de servicios al público

Quien presta servicios de comunicaciones electrónicas disponibles para el público, sin umbral de tamaño ni de número de abonados (art. 1)

Proveedor contratado y mayorista

Quien presta una parte del servicio por encargo, incluida la prestación al por mayor, avisa inmediatamente al proveedor contratante y no notifica a la autoridad (art. 5, considerando 18)

Autoridad nacional competente

Recibe las notificaciones, pone a disposición un soporte electrónico seguro, autoriza el retraso del aviso al abonado y valora la prueba del cifrado (art. 2.4, art. 3.5 y art. 4.1)

Exclusiones

Reglamento (UE) n.º 611/2013 de la Comisión, de 24 de junio de 2013, relativo a las medidas aplicables a la notificación de casos de violación de datos personales en el marco de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo sobre la privacidad y las comunicaciones electrónicas

Identificador

CELEX 32013R0611

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Todo lo que contiene es ciberseguridad, pero es ciberseguridad de una sola fase: lo que ocurre después de que la brecha ya se ha producido. No pide gestionar riesgos, no describe controles, no impone auditorías y no fija un catálogo de medidas. Lo que aporta es el reloj que la Directiva dejó abierto, el contenido tasado de las dos notificaciones y una condición criptográfica precisa: cifrado con algoritmo normalizado o resumen con clave normalizada, con la clave intacta, exime de avisar al abonado. Es poco texto y muy operativo, y en un plan de respuesta a incidentes de un operador ocupa el sitio del cronómetro.

Valoración del curador · nivel 3 de 5

Notificar toda violación en 24 horas Ciber

Notificar a la autoridad nacional competente todas las violaciones de datos personales, sin umbral de gravedad y sin margen para decidir cuáles se cuentan, y hacerlo en la medida de lo posible dentro de las 24 horas siguientes a la detección. La detección tiene definición propia: es el momento en que se sabe lo suficiente como para poder notificar de forma válida, no el momento de la primera sospecha.

Literal de la norma En la medida de lo posible, los proveedores notificarán los casos de violación de datos personales a la autoridad nacional competente dentro de las 24 horas siguientes a la detección del caso.

Art. 2, apdos. 1 y 2

Contenido tasado de la notificación Ciber

Consignar en la notificación la información del anexo I, que viene en dos secciones y no es una lista orientativa. La sección 1 identifica al proveedor y a su punto de contacto, dice si la notificación es la primera o la segunda y describe el incidente: fecha y hora del suceso y de su detección, circunstancias, naturaleza y contenido de los datos comprometidos, medidas aplicadas y recurso a otros proveedores. La sección 2 pide lo que casi nunca se sabe el primer día: resumen del incidente con la ubicación física y el soporte de almacenamiento, número de afectados, consecuencias posibles, medidas paliativas, contenido y medios del aviso a los afectados y dimensión transfronteriza.

Literal de la norma Los proveedores consignarán en su notificación a la autoridad nacional competente la información recogida en el anexo I.

Art. 2.2, párrafo segundo, y anexo I

Segunda notificación en tres días Ciber

Cuando en 24 horas no se tenga toda la información del anexo I, enviar igualmente una notificación inicial con la sección 1 dentro de ese plazo, y completarla con una segunda notificación que incluya la sección 2 lo antes posible y como máximo tres días después de la inicial. Si ni así se reúne todo, dentro de esos tres días hay que enviar lo que se tenga con una justificación motivada del retraso, y el resto en el plazo más breve posible. La investigación no detiene el reloj: lo reparte.

Literal de la norma Cuando no se disponga de toda la información indicada en el anexo I y sea preciso investigar más exhaustivamente el caso de violación de datos personales, se autorizará al proveedor a enviar una notificación inicial a la autoridad nacional competente dentro de las 24 horas siguientes a la detección del caso. Esta notificación inicial incluirá la información contemplada en el anexo I, sección 1. El proveedor remitirá una segunda notificación a la autoridad nacional competente lo antes posible y, a más tardar, dentro de los tres días siguientes a la notificación inicial. […]

Art. 2.3

Avisar al abonado cuando pueda salir perjudicado Ciber

Avisar al abonado o particular, además de notificar a la autoridad, cuando la violación pueda afectar negativamente a sus datos personales o a su intimidad, y hacerlo sin dilación injustificada tras la detección. Esa valoración se hace con tres criterios del propio artículo: la naturaleza y el contenido de los datos (datos financieros, categorías especiales, datos de localización, registros de internet, historiales de navegación, correo electrónico y listas de llamadas detalladas), las consecuencias posibles para el afectado (fraude, usurpación de identidad, daño físico, sufrimiento psicológico, humillación o perjuicio reputacional) y las circunstancias en que se produjo. El aviso no depende de la notificación a la autoridad, así que no cabe esperar respuesta. Solo puede retrasarse con autorización previa de la autoridad, y únicamente cuando comprometa la investigación.

Literal de la norma La notificación al abonado o particular se efectuará sin dilación injustificada tras haberse detectado la violación de datos personales, tal y como se establece en el artículo 2, apartado 2, párrafo tercero. Dicha notificación no dependerá de la notificación de la violación de datos personales a la autoridad nacional competente mencionada en el artículo 2.

Art. 3, apdos. 1, 2, 3 y 5

Qué dice el aviso y por dónde viaja Ciber

El aviso al abonado lleva las nueve entradas del anexo II (proveedor, punto de contacto, resumen del incidente, fecha estimada, naturaleza de los datos, consecuencias posibles, circunstancias, medidas de subsanación adoptadas y medidas recomendadas al afectado), en lenguaje claro y fácilmente comprensible. Tres prohibiciones acompañan al contenido: no aprovechar el aviso para promover o anunciar servicios, no mezclarlo con información sobre otros asuntos (el considerando 15 descarta expresamente meterlo en una factura corriente) y no usar cualquier canal, porque la vía tiene que garantizar una pronta recepción y ser segura con arreglo al estado actual de la técnica.

Literal de la norma El proveedor notificará la violación de datos personales al abonado o particular por vías de comunicación que garanticen una pronta recepción de la información y sean seguras con arreglo al estado actual de la técnica. La información sobre el caso se referirá exclusivamente a este y no se adjuntará a información sobre otros asuntos.

Art. 3, apdos. 4 y 6, y anexo II

Anuncio en medios y aviso individual posterior Ciber

Cuando, pese a haber hecho todo lo posible, no se consiga identificar dentro del plazo a todos los particulares que pueden verse perjudicados, cabe avisarles insertando anuncios en los principales medios de comunicación nacionales o regionales, con la información del anexo II resumida si procede. Es una facultad y no cierra nada: hay que seguir identificando a esos particulares y avisarles individualmente lo antes posible.

Literal de la norma Cuando, pese a haber hecho todo lo posible, el proveedor que tenga una relación contractual directa con el usuario final no pueda identificar en el plazo a que hace referencia el apartado 3 a todos los particulares que puedan verse perjudicados por la violación de datos personales, podrá notificarles esa información insertando anuncios en los principales medios de comunicación nacionales o regionales de los Estados miembros en cuestión dentro del citado plazo. […]

Art. 3.7

Exención por datos incomprensibles Ciber

No es un deber, es la única puerta para no avisar al abonado, y la carga de la prueba es del proveedor: hay que demostrar a satisfacción de la autoridad nacional que se aplicaron medidas tecnológicas de protección convenientes y que se aplicaron a los datos afectados por esta violación en concreto. El reglamento tasa cuándo se consideran incomprensibles los datos, y en las dos vías la condición no es solo el algoritmo: la clave no puede haber quedado comprometida por ningún fallo de seguridad y tiene que haberse generado de modo que nadie no autorizado pueda determinarla con los medios tecnológicos disponibles. Las dos vías son cifrado seguro con algoritmo normalizado, o sustitución por el valor resumen calculado con una función resumen con clave criptográfica normalizada. La exención no alcanza a la notificación a la autoridad, que hay que hacer igual.

Literal de la norma Los datos se considerarán incomprensibles cuando: a) se hayan cifrado de forma segura con un algoritmo normalizado, y la clave usada para descifrar los datos no haya quedado comprometida por ningún fallo de seguridad y haya sido generada de modo que no pueda ser determinada por los medios tecnológicos disponibles por ninguna persona que no esté autorizada a acceder a ella, o […]

Art. 4, apdos. 1 y 2

Aviso inmediato aguas arriba de la cadena Ciber

El proveedor contratado para prestar una parte del servicio, que no tiene relación contractual directa con los abonados, informa inmediatamente al proveedor que le contrató. No notifica a la autoridad ni avisa a los abonados: su deber se agota aguas arriba. Para el proveedor principal la consecuencia práctica es que su plazo de 24 horas depende de un tercero, y el reglamento no le da ninguna herramienta contractual: la cláusula que asegure ese aviso hay que escribirla en el contrato.

Literal de la norma Cuando se contrate a otro proveedor para que preste una parte de un servicio de comunicaciones electrónicas sin tener una relación contractual directa con los abonados, ese otro proveedor informará inmediatamente al proveedor contratante en caso de violación de datos personales.

Art. 5

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Arts. 2 y 3, y anexos I y II · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 2, apdos. 2 y 3, y art. 3.2 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 4, apdos. 1 y 2 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 5 y considerando 18 · categorización del curador, no de la norma

Proveedor de servicios de comunicaciones

El único sujeto obligado del reglamento: quien presta servicios de comunicaciones electrónicas disponibles para el público. No hay umbral de tamaño, de número de abonados ni de facturación, y tampoco distinción entre operador de red y prestador de servicio: el ámbito se define por prestar el servicio al público. Sobre él recaen las dos notificaciones, la del reloj de 24 horas hacia la autoridad y la del abonado afectado.

Literal de la norma El presente Reglamento se aplicará a la notificación de los casos de violación de datos personales por parte de los proveedores de servicios de comunicaciones electrónicas disponibles para el público (denominados en lo sucesivo «los proveedores»).

Art. 1

Proveedor subcontratado

Quien presta una parte del servicio por encargo de otro proveedor y no tiene relación contractual directa con los abonados: facturación, funciones de gestión, o la prestación al por mayor que describe el considerando 18. No notifica a la autoridad ni al abonado. Su único deber es avisar inmediatamente al proveedor que le contrató, que es quien conserva la obligación completa. El reglamento le pone un adverbio más exigente que el de nadie: inmediatamente, sin plazo alternativo.

Literal de la norma Cuando se contrate a otro proveedor para que preste una parte de un servicio de comunicaciones electrónicas sin tener una relación contractual directa con los abonados, ese otro proveedor informará inmediatamente al proveedor contratante en caso de violación de datos personales.

Art. 5

Autoridad nacional competente

El destinatario de la notificación, designado por cada Estado miembro. El reglamento no lo nombra ni lo define: le atribuye deberes propios, entre ellos poner a disposición de los proveedores un soporte electrónico seguro con sus procedimientos de acceso, autorizar o denegar el retraso del aviso al abonado, valorar la prueba de las medidas tecnológicas de protección e informar a las autoridades de otros Estados miembros cuando la violación los alcanza. En España es la Agencia Española de Protección de Datos, por designación del artículo 60.3 de la Ley 11/2022.

Art. 2, apdos. 4 y 5, y art. 3.5