El RGPD ha cambiado el juego de la notificación de violación de datos. La notificación de la violación de datos es obligatoria para todas las empresas, dependiendo de si actúan como controlador o procesador y del probable impacto de la violación de datos en los individuos. Además, se aplica a los controladores un plazo bastante oneroso para la notificación: concretamente, en el artículo 33 de el RGPD se exige que una violación de los datos se notifique al regulador sin demoras indebidas y, cuando sea factible, en un plazo máximo de 72 horas después de haber tenido conocimiento de ella, a menos que sea improbable que entrañe un riesgo para las personas. El RGPD elevó la sanción máxima por las contravenciones al 4% del volumen de negocios mundial o hasta 20 millones de euros, lo que sea mayor. Esto ha obligado a la organización a pensar en su enfoque de la prevención de incidentes, la respuesta a los incidentes y la notificación de infracciones.

Este artículo ofrece un análisis de las infracciones de datos más destacadas y de las medidas de aplicación de la OIC en los dos años posteriores al RGPD. Sobre la base de las medidas de aplicación adoptadas por la OIC, este artículo trata de poner de relieve las cuestiones clave que las empresas deben tener en cuenta al considerar sus políticas y procedimientos de respuesta a incidentes, lo que se debe y no se debe hacer en materia de respuesta a incidentes y, lo que es más importante, los escollos que ponen a las organizaciones en peligro de ser víctimas de una infracción.