Artículo 33 RGPD. Notificación de una violación de la seguridad de los datos personales a la autoridad de control
1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.
[…]
3. La notificación contemplada en el apartado 1 deberá, como mínimo:
[…]
b) comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
c) describir las posibles consecuencias de la violación de la seguridad de los datos personales;
d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
“Lenguaje claro y sencillo”
En el caso de la información “escrita” (y cuando la información escrita se comunique verbalmente, o mediante métodos auditivos o audiovisuales, también para interesados con problemas de visión), han de seguirse las mejores prácticas para escribir con claridad.[11] El legislador de la UE ya ha utilizado previamente un requisito lingüístico similar (apelando al uso de “términos claros y comprensibles”) y también aparece explícitamente mencionado en el contexto del consentimiento en el considerando 42 del RGPD[13]. La obligación de utilizar un lenguaje claro y sencillo implica que la información debe facilitarse de la forma más simple posible, evitando oraciones y estructuras lingüísticas complejas. La información debe ser concreta y categórica; no debe formularse en términos abstractos o ambivalentes ni dejar margen para distintas interpretaciones. En concreto, los fines y la base jurídica del tratamiento de los datos personales deben ser claros.
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 34 GDPR:
6.13.1.1 Обязанности и процедуры
Руководство по внедрению
В рамках общего процесса управления инцидентами информационной безопасности организация должна установить обязанности и процедуры для выявления и регистрации нарушений PII. Кроме того, организация должна установить обязанности и процедуры, связанные с уведомлением требуемых сторон о нарушениях PII (включая время таких уведомлений) и раскрытием властям, принимая во внимание применимое законодательство и / или регулирование.
…
Войти
для доступа к полному тексту