Herramienta 02 · Obligaciones de comunicación
¿A quién deben comunicarlo?
Para la dirección y las empresas: las obligaciones de comunicación que con más frecuencia se pasan por alto cuando algo sale mal — con autoridad, plazo y vía.
Una obligación de comunicación empieza en el momento en que alguien en la empresa se entera de un incidente — en informática, en la nave, en contabilidad. Rara vez en la dirección, casi nunca en el despacho del abogado. Algunos de estos plazos se cuentan en horas, no en días. Por eso, las primeras preguntas en una emergencia son siempre las mismas: ¿tenemos que comunicarlo? ¿A quién? ¿Hasta cuándo? Aquí pueden aclararlas mientras todavía nos están llamando.
Cómo se calcula. Los plazos en horas corren sin interrupción desde el momento en que tuvieron conocimiento — noche, fin de semana y festivo no los detienen. Los plazos en días siguen los §§ 187, 188 BGB. Donde la ley dice «sin dilación», no hay fecha sino la palabra: sin demora culpable, en la práctica horas, no días. Qué cuenta como conocimiento se discute caso por caso y a menudo decide más que el cálculo.
Aquí no: las obligaciones de declaración fiscal corresponden a su asesor fiscal. Si su empresa entra en NIS 2 lo aclara la comprobación NIS 2.
Elijan el incidente e indiquen cuándo tuvieron conocimiento. Verán quién comunica, a quién, hasta cuándo y por qué vía — y qué ocurre si no.
Las 72 horas corren desde el conocimiento, no desde el final de la investigación. La notificación solo se excluye si es improbable que la brecha suponga un riesgo para los afectados — siempre debe documentarse (art. 33.5). Quien notifica más tarde debe justificar el retraso.
Notificación a la autoridad — sin dilación, a ser posible en 72 horas
Falta el momento — no calculable
Comunicación a los afectados
sin dilación, si es probable un riesgo alto (art. 34)
Quién comunica
La empresa que decide sobre los datos (responsable del tratamiento). Un proveedor que solo los trata por su cuenta se lo comunica sin dilación — no a la autoridad.
A quién
La autoridad de protección de datos del estado federado donde la empresa tiene su sede.
Por qué vía
Formulario de notificación en línea de la autoridad. Lo que aún no está claro se aporta después — la notificación por fases está expresamente prevista (art. 33.4 RGPD).
Si no
No notificar, o hacerlo tarde, es por sí mismo una infracción sancionable, con independencia del incidente (art. 83.4 RGPD).
Plazos en horas calculados en tiempo real desde el momento indicado, en la zona horaria de su dispositivo; plazos en días según los §§ 187, 188 BGB. Los festivos no están registrados. No constituye asesoramiento jurídico.
Pertenece a: Regulación y cumplimiento