AEPD

Su papel se deriva del reglamento: supervisa, recibe notificaciones, tramita las reclamaciones de los interesados y puede imponer medidas correctoras y multas. Para un equipo técnico la parte relevante es el reloj. Una brecha que afecte a datos personales y que entrañe un riesgo probable hay que notificarla a la autoridad sin dilación indebida y dentro de las setenta y dos horas siguientes a tener constancia de ella, y cuando el riesgo para las personas es alto hay que informarlas también a ellas. Setenta y dos horas no son setenta y dos horas para terminar la investigación: son el plazo para notificar con lo que se sepa, y ampliar después.

La segunda razón por la que aparece en conversaciones de ingeniería es su material publicado. La agencia emite guías técnicas sobre gestión de riesgos, sobre evaluaciones de impacto y sobre tecnologías concretas, y citarlas cambia una discusión, porque es la posición del organismo que llevaría a cabo cualquier inspección y no la opinión de un proveedor.

Donde esto toca nuestro trabajo directamente es en la preparación de la respuesta a incidentes. La observación que anotamos con más frecuencia es una organización con un plan técnico de respuesta competente y sin respuesta ensayada a quién decide que hay que notificar, quién firma la notificación y qué evidencias hay que preservar antes de reconstruir los sistemas. Resolver eso por adelantado forma parte del trabajo de protección de datos en el que la vía de notificación se prepara antes de hacer falta.