El EDPB propone una plantilla única de la UE para notificar las violaciones de datos

El Comité Europeo de Protección de Datos ha aprobado la versión 1.0 de un formulario común para notificar violaciones de datos personales. La propuesta está abierta a consulta pública hasta el 5 de agosto de 2026, tras lo cual se espera que el EDPB decida cuándo empezarán a utilizarla en la práctica las autoridades nacionales de supervisión, según Aisa International.

La iniciativa pretende sustituir los distintos formatos de notificación utilizados por las autoridades de protección de datos de los Estados miembros de la UE. Hasta ahora, las organizaciones se han enfrentado a estructuras y requisitos diferentes al notificar violaciones, también cuando tratan con la Oficina Checa de Protección de Datos Personales. Un formulario común ofrecería a los responsables del tratamiento un marco único para presentar los detalles de un incidente.

La plantilla es extensa. Pide a las organizaciones que describan qué ocurrió, cuándo ocurrió, quiénes se vieron afectados, cómo se evaluaron los riesgos y qué medidas se adoptaron en respuesta. El objetivo declarado es hacer que el proceso sea más coherente y fácil de seguir, especialmente para las organizaciones más pequeñas que quizá no dispongan de equipos jurídicos especializados. Al mismo tiempo, el nivel de detalle exigido significa que las empresas necesitarán registros fiables de los incidentes y acceso rápido a información técnica y jurídica.

Qué abarca el formulario propuesto

El documento está dividido en siete grandes áreas. La primera se refiere al estado de la comunicación: una organización debe indicar si presenta una notificación inicial, actualiza una anterior o retira una notificación previa.

Una segunda sección recoge la identidad y la función de la organización. Incluye el sector económico pertinente, utilizando clasificaciones de la A a la V, así como el tipo de organización implicada. El formulario también exige que los responsables del tratamiento identifiquen a los encargados del tratamiento y a cualquier corresponsable relacionado con el incidente.

La sección sobre la cronología solicita la fecha y la hora en que se produjo la violación y en que fue descubierta. Si la notificación se presenta después del plazo legal de 72 horas, la organización debe explicar el retraso. Esto hace que la calidad del registro interno de incidentes sea especialmente importante, ya que el cómputo del plazo de notificación depende del momento de la detección y de la evaluación que haga la organización de sus obligaciones.

A continuación, el formulario propuesto pide a las organizaciones que clasifiquen la naturaleza de la violación. Deben indicar si se puso en peligro la confidencialidad, la integridad o la disponibilidad, y señalar si el responsable fue un actor malicioso interno o externo, cuando se conozca.

Otra parte se centra en las personas y la información afectadas. Las organizaciones deben identificar las categorías pertinentes de interesados, como empleados, clientes, niños o personas vulnerables, y facilitar el número de registros implicados. Cuando las cifras aún no sean seguras, el formulario permite presentar una comunicación inicial basada en estimaciones. Posteriormente, ese informe puede modificarse mediante una notificación de seguimiento.

Pruebas, riesgos e incidentes transfronterizos

La sección de evaluación de riesgos exige explicar cómo juzgó la organización los posibles efectos sobre las personas. También solicita información sobre las salvaguardas ya existentes, incluidas medidas como el cifrado y la autenticación multifactor.

El área final aborda los incidentes que afectan a más de un país del Espacio Económico Europeo y los documentos justificativos. Entre los ejemplos identificados por Aisa International figuran las evaluaciones de riesgos, los mensajes enviados a las personas afectadas, los correos electrónicos de phishing y las notas de ransomware. Estos requisitos significan que la notificación no se limita a una breve descripción del suceso; las autoridades también pueden esperar material que demuestre cómo la organización lo investigó y respondió a él.

La responsabilidad puede seguir recayendo en el responsable del tratamiento incluso cuando la violación se produce en un proveedor de servicios externo. El requisito del formulario propuesto de registrar a los encargados y corresponsables refleja esa distribución de funciones. Una empresa no puede suponer que externalizar el tratamiento de datos elimina sus propias obligaciones de notificación.

El formulario también reconoce que un responsable del tratamiento quizá no conozca el número exacto de personas afectadas en un plazo de 72 horas. Puede presentarse una notificación incompleta utilizando las estimaciones disponibles, seguida de información adicional una vez que la investigación arroje cifras más precisas. Esto ofrece a las organizaciones una vía para cumplir el plazo inicial sin esperar a que se hayan establecido todos los hechos.

Aún no hay fecha de aplicación

El plazo de la consulta termina el 5 de agosto de 2026. Hasta que el EDPB establezca los próximos pasos, el artículo no identifica una fecha definitiva en la que la plantilla común pasará a ser obligatoria para las autoridades nacionales o las organizaciones. Por tanto, las empresas tienen tiempo para examinar cómo sus procedimientos de respuesta a las violaciones recogen la información que solicita el formulario propuesto.

Aisa International afirma que no completa notificaciones de violaciones para sus clientes, no lleva registros manuales de datos filtrados ni concilia informes de transacciones de custodios. La empresa describe su función como una supervisión estratégica del cumplimiento y afirma que la investigación técnica y la notificación deben estar a cargo de asesores especializados en seguridad de la información y derecho.

El editor presenta el formulario propuesto como parte de un cambio más amplio hacia una supervisión más estructurada de los riesgos digitales. Para las organizaciones, la implicación práctica es que la preparación ante las violaciones no puede depender únicamente de actuaciones improvisadas durante una crisis. Unos cronogramas precisos, una responsabilidad clara de los encargados del tratamiento, evaluaciones de riesgos documentadas y pruebas conservadas pueden ser necesarios si sale adelante el enfoque común de notificación.

El artículo de Aisa International señala que su información es de carácter general y no constituye asesoramiento personalizado, y advierte de que las leyes pueden cambiar. Recomienda consultar las orientaciones vigentes de asesores cualificados y fuentes oficiales del Gobierno antes de basarse en la propuesta en un caso concreto.