¿A qué autoridad se notifica una brecha de datos que afecta a clientes de varios países de la UE?

El artículo 33 del RGPD obliga al responsable a notificar una violación de la seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, a ser posible, en un plazo de 72 horas desde que tenga constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos de las personas.

Para tratamientos transfronterizos, el artículo 56 atribuye la competencia a la autoridad del establecimiento principal. En España esa autoridad es la Agencia Española de Protección de Datos (AEPD).

Cuando el riesgo para las personas es alto, el artículo 34 exige además comunicar la brecha a los interesados en un lenguaje claro y sencillo.