¿Se ha producido en los últimos dos años una violación de datos que haya debido notificarse?

Sí/no sobre una filtración de datos rara vez puede fundamentarse de una sola vez

Esta pregunta no pregunta si alguna vez algo salió mal, sino si ha habido una filtración de datos que haya tenido que ser notificada — ese es un paso intermedio. Una filtración que se haya detectado internamente y se haya manejado sin obligación de notificación es algo diferente de una filtración que se haya notificado a la autoridad de control y posiblemente a los interesados. La respuesta "no" solo puede darse si tiene la certeza de que no ha habido un incidente de notificación obligatoria, no solo porque no recuerde haber tenido uno. La respuesta "sí" requiere poder responder una pregunta de seguimiento: cuándo, qué se notificó y a quién.

En la práctica, esta es una de las preguntas cuya respuesta puede variar en cada ronda de cumplimentación, porque el período "últimos dos años" se desplaza. Una filtración hace dos años y un mes ya no entra en esta categoría este año, mientras que el año pasado sí contaba. Por eso no es una respuesta que se establezca una vez y luego se deje como está: el expediente debe verificar en cada ronda si hay un período que caduca o se añade. Quienes cumplimentan este tema con frecuencia también reconocen la pregunta relacionada sobre un canal interno para denunciantes": ambas preguntas no solo comprueban si algo existe, sino si el proceso se ha utilizado realmente.

De dónde procede: sin artículo fijo, pero un punto de control recurrente

Esta pregunta no procede de un artículo específico que se haya proporcionado a Supplia; forma parte de la categoría más amplia de preguntas sobre tratamiento de datos, junto con preguntas como si la empresa mantiene un registro de actividades de tratamiento. La fuente de esta respuesta se encuentra en el registro interno de incidentes de la empresa: el registro de lo que sucedió, cuándo y si se envió una notificación. Sin ese documento interno, no hay base para confirmar "no", y con un registro incompleto tampoco hay base para fundamentar completamente "sí".