Tras la publicación en el BOE del Real Decreto-ley 463/2020, de 14 de marzo, por el que se declaró el estado de alarma para la gestión de la situación crítica ocasionada por la expansión del COVID-19, se multiplicaron las consultas a la Agencia Española de Protección de Datos (AEPD) referentes a la persistencia de la obligación de comunicar las brechas de seguridad en los términos previstos en el artículo 33 del Reglamento General de Protección de Datos (RGPD), al prever la disposición adicional tercera del Real decreto-ley la suspensión de los plazos administrativos.
Ante tal panorama, la AEPD publicó en su blog un comunicado en el cual aclaraba que en ningún caso la suspensión de los plazos administrativos, prevista en la mencionada disposición adicional tercera, eximía a los responsables y encargados de tratamiento de la obligación de notificar a la autoridad responsable correspondiente y, en su caso, a los interesados afectados, el acaecimiento de una violación de seguridad en materia de protección de datos de acuerdo con lo dispuesto en el artículo 33 del RGPD.
De tal modo, en el supuesto que se produzca una violación de seguridad que afecte a datos personales tratados por un responsable o encargado durante el estado de alarma, este deberá proceder de la forma prevista inicialmente, es decir, notificando a la AEPD telemáticamente a través de su sede electrónica en un plazo máximo de 72 horas desde que se haya tenido constancia de la misma e informando a los interesados afectados, sin dilación indebida, cuando sea probable que la brecha de seguridad pueda entrañar un alto riesgo para sus derechos y libertades.
La notificación realizada debe incluir una descripción de la naturaleza de la violación de seguridad, el nombre y datos de contacto del delegado de protección de datos o de un punto de contacto de la entidad, las posibles consecuencias derivadas de la incidencia y las medidas de seguridad a aplicar para paliar los efectos de la misma.
En caso de no disponer de toda la información requerida en el plazo de 72 horas, se deberá efectuar una comunicación inicial dentro del periodo marcado con la información disponible e ir ampliándola mediante notificaciones adicionales a medida que esta aumenta. Asimismo, de no haber sido capaz el responsable de efectuar la notificación en el plazo señalado de 72 horas, este deberá comunicar los motivos que lo impidieron.
Desde el Departamento de Mercantil de AddVANTE quedamos a su disposición para ampliar esta información o resolver cualquier duda que pudiera surgir relacionada con este artículo.
