La regla de las 72 horas

El plazo establecido en el artículo 33 del RGPD para notificar una violación de datos personales a la autoridad de protección de datos: sin dilación indebida y, de ser posible, a más tardar 72 horas después de que la empresa haya tenido conocimiento de la violación. El plazo también corre los fines de semana y días festivos. Si se supera, la notificación debe justificar el retraso. Si la empresa no dispone de toda la información dentro del plazo, la notificación puede hacerse por etapas: lo importante es comunicar a tiempo lo que se sabe.