97.

El Parlamento Europeo, la Comisión y el Consejo han adoptado diversos planteamientos respecto de la notificación de las violaciones de la seguridad. Hay diferencias entre los tres modelos en lo relativo, entre otros aspectos, a las entidades afectadas, la circunstancia o condición que desencadena la obligación de notificar, los titulares de los datos con derecho a recibir notificación, etc. Es menester que tanto el PE como el Consejo hagan cuanto esté en sus manos para establecer un marco jurídico sólido en lo que respecta a las violaciones de la seguridad. Para ello, el PE y el Consejo deben: — Mantener la definición de violación de la seguridad que figura en los textos del PE, del Consejo y de la Comisión, puesto que es suficientemente amplia para comprender la mayor parte de las situaciones en que podría estar justificada la notificación de violaciones de la seguridad. — Respecto del espectro de las entidades a las que podría aplicarse la obligación de notificar, incluir a los proveedores de servicios de la sociedad de la información. Las empresas de venta electrónica, los bancos electrónicos, las farmacias electrónicas tienen tanta probabilidad de sufrir violaciones de la seguridad como las empresas de telecomunicaciones, si no más. Los ciudadanos esperarán que se les notifique no sólo si sufren violaciones de seguridad los proveedores de acceso a internet, sino muy especialmente si las sufren sus bancos o farmacias electrónicas. — En cuanto a la condición desencadenante de la obligación de notificar, la condición establecida por la propuesta modificada de que « [que sea] razonablemente probable que cause perjuicio» es adecuada y garantiza el funcionamiento del mecanismo. Sin embargo, es importante asegurarse de que «perjuicio» se defina de forma suficientemente amplia para abarcar todos los casos de efectos negativos sobre la intimidad u otros intereses legítimos de los usuarios. En caso contrario, sería preferible establecer una nueva condición según la cual la notificación sea obligatoria «si es razonablemente probable que la violación cause efectos adversos a los usuarios». El planteamiento del Consejo, que requiere que la violación afecte gravemente a la intimidad del usuario, proporciona una protección inadecuada a las personas, en la medida en que existe la condición de que el efecto sobre la intimidad sea «grave». Además, esto da lugar a valoraciones subjetivas. — Aunque la participación de una autoridad en la determinación de cuándo la entidad afectada debe notificar al usuario tiene efectos ciertamente positivos, puede resultar poco práctica y difícil de aplicar, y podría desviar recursos de otras prioridades mayores. Si las autoridades no pueden responder con gran celeridad, el SEPD teme que ese sistema provoque incluso una disminución de la protección de los usuarios y una presión excesiva sobre las autoridades. Así pues, por regla general, el SEPD aconseja que se instaure un sistema en que sean las entidades afectadas las que determinen si deben o no notificar una violación. — A fin de que las autoridades puedan supervisar lo determinado por las entidades afectadas en relación con las notificaciones, deben aplicarse las siguientes salvaguardias: — Garantizar que dichas entidades están obligadas a notificar a las autoridades todas las violaciones de la seguridad que cumplan la condición establecida. — Conferir a las autoridades una función de supervisión que les permita ser selectivas para poder ser eficaces. Para ello, debe añadirse el siguiente texto: «Si el abonado o interesado no ha recibido notificación, la autoridad nacional competente, tras considerar la naturaleza de la violación, podrá obligar a la PSCEP o a la PSSI a notificar». — Adoptar una nueva disposición que obligue a las entidades a mantener un registro interno de auditoría detallado y completo. Esto puede lograrse añadiendo un texto del siguiente tenor: «Las PSCEP y las PSSI mantendrán y conservarán registros completos donde se detallen todas las violaciones de la seguridad que se hayan producido, la información técnica atinente a ellas y las medidas correctoras adoptadas. Las anotaciones del registro contendrán una referencia a todas las notificaciones expedidas a los abonados o interesados y a las autoridades nacionales competentes, así como su fecha y contenido. Los registros se presentarán a la autoridad nacional competente cuando ésta lo solicite». — Para garantizar la coherencia en la aplicación del marco relativo a las violaciones de la seguridad, sería conveniente conferir a la Comisión la facultad de adoptar disposiciones técnicas de aplicación, previa consulta al SEDP, al Grupo del Artículo 29 y a otras partes interesadas. — Respecto de los destinatarios de la notificación, usar la terminología de la Comisión o el PE, a saber: «los afectados» o «los usuarios», ya que incluye a toda persona cuyos datos hayan estado expuestos a un riesgo.