Notificación de brechas en 72 horas

Según el art. 33 del RGPD, el responsable del tratamiento notifica a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener conocimiento de la violación, salvo que sea improbable un riesgo para las personas. Las notificaciones tardías deben justificar la demora, y la información puede entregarse por fases. El art. 34 añade la comunicación a los interesados cuando el riesgo es alto, y el encargado debe avisar al responsable sin dilación.

En Brasil, el art. 48 de la LGPD y la Resolución CD/ANPD 15/2024 exigen que el responsable comunique a la ANPD, y a los titulares, el incidente que pueda causar riesgo o daño relevante dentro de tres días hábiles desde que tuvo conocimiento. La comunicación describe la naturaleza de los datos, las personas afectadas, las medidas adoptadas y los riesgos que persisten.

Como el plazo corre desde el conocimiento, la organización necesita una vía interna de escalamiento, una plantilla de evaluación de riesgo y un registro de todos los incidentes. Ejemplo: una empresa con clientes en Europa y Brasil que confirma la exposición de una copia de seguridad debe cumplir ambos plazos.