Contenido mínimo de un aviso

El reglamento europeo de protección de datos (art. 33, apartado 3) fija lo que como mínimo debe contener la notificación a la autoridad: la naturaleza de la violación, con las categorías de datos y de personas y el número aproximado de unas y otras; el nombre y los datos de contacto de quien puede dar más información; las consecuencias probables; y las medidas adoptadas o propuestas para remediarla o mitigar sus efectos.

Cada autoridad suele tener un formulario propio que recoge esos elementos y añade otros, y las notificaciones de seguridad de redes (NIS2) piden además datos como el impacto en el servicio. La lista mínima sirve de comprobación: no sustituye al formulario, pero evita enviar un aviso al que le falta una pieza de base.

Revisar un borrador contra la lista es un trabajo de cruce: por cada elemento mínimo, buscar la línea que lo cubre. Un elemento sin ninguna línea no se arregla alargando las otras; hay que añadirlo. Y no se trata de lo largo del texto: un aviso corto puede tenerlos todos, y uno de una página puede dejar fuera lo más básico.

Lee la lista de elementos y las cinco líneas del borrador de Rocafuerte, y encuentra el elemento que ninguna línea cubre.

Un aviso afirma, y cada afirmación tiene que colgar de un hecho confirmado. El error típico no es mentir: es escribir lo que se desea que sea cierto, o lo que era cierto hace dos horas. «No se expusieron datos de X» es una afirmación negativa fuerte; para escribirla hay que haber comprobado que no ocurrió, no solo que no se ha visto.

Lo que no está confirmado se escribe como tal («no hay indicios de», «se investiga»), con la hora a la que se sabe. Compara cada línea del borrador con la tabla de hechos y su estado, y encuentra la que dice algo que un hecho confirmado contradice.

El plazo no espera a la investigación. El propio reglamento europeo prevé que, si no es posible facilitar toda la información a la vez, se haga por fases y sin más dilación indebida, y que la autoridad pueda pedir más datos. La práctica es la de un parte médico: lo que se sabe, lo que no se sabe todavía, cuándo se actualizará y quién lo hará.

Esperar a una causa raíz cerrada para avisar es la manera de dejar pasar el plazo. Y completar el hueco con una suposición razonable es peor: obliga a retractarse. Una causa «en investigación» es una frase honesta.

El contacto que figura en un aviso es la persona a la que la autoridad llamará y a la que responderá en horas. No es un buzón genérico ni quien redactó el texto: es quien puede dar más información y tiene autoridad para hacerlo. En muchas organizaciones es la persona encargada de la protección de datos; el área legal confirma quién.

El directorio de Rocafuerte dice quién ocupa ese cargo. Con él se completa el elemento que faltaba en el borrador.