Insurance Europe ha publicado su respuesta a una consulta de la Junta Europea de Protección de Datos (EDPB) sobre un borrador de directrices sobre ejemplos relacionados con notificaciones de violación de datos.

La asociación cree que las directrices deben revisarse para reflejar plenamente el enfoque basado en el riesgo de las violaciones de datos consagrado en el Reglamento General de Protección de Datos (GDPR). De lo contrario, podría crear una carga administrativa no deseada tanto para los controladores de datos como para las autoridades de supervisión, lo que podría desviar el enfoque de ambas partes de las infracciones más graves y otros asuntos importantes relacionados con la protección de datos.

Por ejemplo, en uno de los casos previstos que menciona explícitamente al sector asegurador, el EDPB ha extraído conclusiones erróneas sobre los riesgos generalmente asociados a la divulgación accidental de documentos de seguros. En este caso, cuando se envía una carta al asegurado equivocado, el EDPB sugiere que, si no se puede descartar por completo un uso indebido, el controlador siempre debe comunicarse con el interesado, incluso si los datos no son sensibles y existe el riesgo de uso indebido. es extremadamente bajo. Esto no estaría en línea con el enfoque basado en el riesgo establecido por el GDPR.

En general, cuando una violación de datos personales afecta a un número muy pequeño de interesados, abarca un número limitado de categorías no sensibles de datos personales y cuando no existen circunstancias aparentemente agravantes que sugieran que la violación resultará en un riesgo notable para el personas afectadas, dicha infracción debe ser considerada y tratada como de bajo riesgo por las empresas.