La Comisión de Protección de Datos de Irlanda multó al Bank of Ireland con 463.000 € en marzo de 2024 específicamente por no cumplir el plazo de notificación de 72 horas. No por la brecha en sí, sino por la comunicación tardía. Esa distinción es fundamental, porque significa que tu flujo de trabajo de respuesta a incidentes es en sí mismo un elemento regulatorio que los supervisores examinarán con independencia de lo que causó el evento subyacente.
Los operadores europeos de nube se encuentran ahora en la intersección de dos marcos normativos superpuestos: las obligaciones de notificación del Artículo 33 del RGPD y el modelo estructurado de tres etapas de la Directiva NIS2. Ambos conllevan sanciones significativas. Ninguno tolera la improvisación. Lo que sigue es un análisis concreto de lo que debe estar en marcha antes de que salte la primera alerta.
Cómo funciona realmente el contador de 72 horas en el RGPD
El Artículo 33 del RGPD exige que los responsables del tratamiento notifiquen a la autoridad supervisora competente sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que tengan conocimiento de una violación de datos personales, salvo que sea improbable que dicha violación suponga un riesgo para los derechos y libertades de las personas físicas. La expresión
