Obligación perentoria de notificar formalmente cualquier incidente de seguridad que afecte a datos personales a la autoridad de control en un plazo máximo de 72 horas.
Explicación y Contexto Conceptual
El artículo 33 del RGPD exige que, tan pronto como una empresa tenga constancia de una brecha de seguridad (acceso no autorizado a bases de datos de clientes, filtración de credenciales, infección por ransomware o pérdida de copias de seguridad), debe notificarlo a la Agencia de Protección de Datos en menos de 72 horas. Si la brecha entraña un alto riesgo para los derechos de los usuarios (como filtración de números de tarjetas de crédito o contraseñas), la empresa debe además comunicar el incidente directamente a los consumidores afectados sin dilación indebida.
Ejemplo en la Práctica
Tras sufrir un ataque de inyección SQL que expuso los datos de 50.000 clientes, el equipo de ciberseguridad y el DPO notifican el incidente a la AEPD en 48 horas con el plan de contención.