La normativa de protección de datos en la Unión Europea (i.e. el Reglamento (UE) 2016/679 conocido como el RGPD) establece ciertos plazos para notificar brechas de seguridad a la Autoridad de Control cuando se vean afectados datos personales, y para atender las solicitudes de ejercicio de derechos de acceso, rectificación, limitación, supresión, oposición, y portabilidad (en adelante, los “Derechos PLARCO”). ¿Estos plazos se ven afectados por el actual estado de alarma debido a la pandemia del COVID-19?
Brechas de seguridad
¿Qué es una brecha de seguridad que afecta a datos personales?
Toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Por ejemplo, la pérdida o robo de dispositivo o de documentación papel, robo y/o filtración de datos, pérdida de disponibilidad, etc.
¿Se tienen que notificar todas las brechas de seguridad que afectan a datos?
No. La normativa de protección de datos establece que se deben notificar las brechas de seguridad que afectan a datos a:
- La Agencia Española de Protección de Datos, a menos que sea improbable que dicha brecha constituya un riesgo para los derechos y las libertades de las personas físicas.
- Los interesados, cuando entrañe un alto riesgo para los derechos y libertades de las personas físicas.
¿Tenemos más tiempo para notificar brechas de seguridad a la Agencia Española de Protección de Datos durante el Estado de Alarma?
No. Tal y como indica la Agencia Española de Protección de Datos, la suspensión de plazos administrativos prevista en el Real Decreto 463/2020 que declara el Estado de Alarma no afecta la obligación de notificar violaciones de seguridad de los datos.[1]
Ahora bien, cabe recordar que la normativa de protección de datos permite realizar una notificación inicial, y luego complementarla.
¿Qué plazo tenemos para notificar una brecha de seguridad que afecte a datos personales?
En el caso de que la brecha de seguridad de datos deba notificarse a la Agencia Española de Protección de Datos, sigue vigente el plazo de las 72 horas. Este plazo empieza a contar desde que se tiene constancia de la brecha de seguridad que afecta a datos personales.
En el caso de que se deba comunicar al interesado, se debe realizar sin dilación indebida
Derechos Plarco
¿De qué derechos estamos hablando?
La normativa de protección de datos reconoce a los interesados el derecho de acceso, rectificación, limitación, supresión (“derecho al olvido”), oposición, y portabilidad. Para más información sobre estos derechos, la Agencia Española de Protección de datos ha preparado una infografía accesible aquí.
¿Tenemos más tiempo para responder a estos derechos durante el Estado de Alarma?
No. Tal y como indica la Agencia Española de Protección de Datos, el Estado de Alarma no implica la suspensión de los plazos para dar respuesta al ejercicio de los derechos PLARCO.[1]
¿Qué plazo tenemos para responder a estas solicitudes?
Un (1) mes. La normativa de protección de datos establece que el Responsable del Tratamiento[1] facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud de ejercicio de Derechos PLARCO, y, en cualquier caso, en el plazo de un (1) mes a partir de la recepción de la solicitud.
No obstante, este plazo puede prorrogarse otros dos (2) meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El Responsable del Tratamiento informará al interesado de cualquiera de estas prórrogas en el plazo de un (1) mes a partir de la recepción de la solicitud, indicando los motivos de la dilación (por ejemplo, describiendo cómo afecta a la actividad del Responsable del Tratamiento la crisis del COVID-19).
Asimismo, la Agencia Española de Protección de Datos indica que si no resultase viable notificar la prórroga en el plazo de un (1) mes debido a las condiciones derivadas de la crisis del COVID-19, se podría implementar una respuesta automática a la recepción de una solicitud de ejercicio de derechos.
________
IT, Risk & Compliance
+ 34 933 808 255
[1] Preguntas frecuentes de la AEPD disponibles aquí.
[1] Si la empresa que recibe los ejercicios de derechos actúa como Encargado del Tratamiento, deberá seguir las directrices establecidas por el Responsable del Tratamiento en cuanto a la gestión de ejercicios de derechos.