Notificación / denuncia AEPD por brecha de seguridad de datos (RGPD art. 33)

Base legal y a tener en cuenta

• Marco: arts. 33 y 34 RGPD, y arts. 73 y 74 de la LO 3/2018 (LOPDGDD), que son los que tipifican en España.
• Quién notifica: el responsable del tratamiento, a la AEPD. Si usted trata datos por cuenta de otra empresa es ENCARGADO, y su deber es distinto: avisar al responsable sin dilación indebida, sin el margen de las 72 horas (art. 33.2 RGPD).
• Plazo de notificación a la AEPD: sin dilación indebida y, de ser posible, a más tardar 72 horas desde que se tiene constancia. Las 72 horas son el techo, no el plazo ordinario.
• Comunicación a los interesados: obligatoria sin dilación indebida cuando sea probable que la brecha entrañe un ALTO riesgo para ellos (art. 34.1). Solo decae si los datos estaban protegidos de forma que resulten ininteligibles, por ejemplo cifrados (art. 34.3.a), o si ya se han tomado medidas que eliminen ese alto riesgo (art. 34.3.b). El tercer supuesto NO exime: si la comunicación individual supone un esfuerzo desproporcionado, hay que sustituirla por una comunicación pública o medida semejante igual de efectiva (art. 34.3.c). Y la AEPD puede exigir la comunicación aunque el responsable no la haya hecho (art. 34.4).
• Sanciones: incumplir los deberes de notificación de los arts. 33 y 34 entra en el art. 83.4.a) RGPD, que cubre los arts. 8, 11, 25 a 39, 42 y 43: hasta 10 M€ o el 2 % del volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía. Cuidado con quedarse ahí: si la brecha revela que faltaban medidas de seguridad, puede encajar además en el principio de integridad y confidencialidad del art. 5.1.f), que sí está en el art. 83.5 (20 M€ o 4 %). Y desoír una resolución de la AEPD, por ejemplo el requerimiento del art. 34.4, va por el art. 83.6, también 20 M€ o 4 %.
• Tipificación española (LO 3/2018): no notificar a la AEPD es GRAVE y prescribe a los dos años (art. 73.r). Notificar tarde, de forma incompleta o defectuosa es LEVE y prescribe al año (art. 74.m). No documentar una brecha es LEVE por sí sola (art. 74.n). No comunicarla al afectado es LEVE (art. 74.ñ), salvo que la AEPD ya lo hubiera requerido, y entonces es GRAVE (art. 73.s). El orden importa: llegar tarde se paga, callarse se paga más, y desoír a la Agencia es lo que dispara la cuantía.
• Tercera factura, la que no tiene techo: además de la multa, cualquier afectado puede reclamar indemnización por los daños materiales e inmateriales (art. 82.1 RGPD), sin necesidad de que la AEPD abra expediente. Y si en la misma operación participaron responsable y encargado, cada uno puede responder de la totalidad del daño (art. 82.4).
• Conexiones naturales: reclamacion_aepd, denuncia_inspeccion_trabajo (si datos laborales).