Lo que el reporte debe y no debe decir

El artículo 33, apartado 3, del Reglamento (UE) 2016/679 pide que la notificación a la autoridad de control describa al menos cuatro cosas: la naturaleza de la violación (con las categorías y el número aproximado de personas y de registros afectados), el contacto del delegado de protección de datos o de otra persona que pueda dar más información, las consecuencias probables y las medidas adoptadas o propuestas. Si no se puede dar todo a la vez, se entrega por fases.

El analista no firma esa notificación, pero sí aporta casi toda la naturaleza y las medidas. Por eso su ficha debe poder rellenar esos huecos sin que jurídico tenga que volver a preguntarle.

Abre la consola y mira el borrador_notificacion. Tiene cuatro filas, una por cada elemento del apartado 3, en el orden en que la norma los lista. Una quedó sin completar. Quien lo puede completar es el equipo que valora el daño, con datos que el analista aporta, y que el reporte tenga huecos a la vista es mejor que cubrirlos con una frase de relleno.

La naturaleza de la violación incluye el número aproximado de personas afectadas y el de registros. Son dos cifras: en una exportación de pedidos un mismo cliente aparece varias veces. Poner en el campo de personas el número de registros infla el reporte; ponerlo al revés lo subestima. La tabla conteos trae los dos y un tercer dato, el de los titulares que residen en la Unión Europea, que jurídico pide aparte.

Hay cosas que el reporte no debe contener aunque sean ciertas: datos personales de los afectados que la autoridad no necesita para evaluar la violación (con el número y las categorías basta), credenciales o secretos, conjeturas presentadas como hechos y valoraciones sobre personas. La autoridad ve el reporte y se archiva; lo que entra, queda en un expediente.

Revisa el texto_propuesto: tres de las cuatro líneas son seguras. Una añade una información que el reporte no debe llevar.

Muchos reportes a proveedores, aseguradoras y autoridades de otros países se escriben en inglés. La frase útil es corta, con hora y zona, en voz pasiva o neutral y sin adjetivos: «recorded», «we are determining», «we will update». Evita culpar («due to negligence»), adivinar («a state actor») y cerrarse («no comment»): notificar por fases es legítimo.