LOPD y GDD ( LOPDGDD ) 3/2018 Disposición adicional novena. Tratamiento de datos personales en relación con la notificación de incidentes de seguridad.
Cuando, de conformidad con lo dispuesto en la legislación nacional que resulte de
aplicación, deban notificarse incidentes de seguridad, las autoridades públicas competentes,
equipos de respuesta a emergencias informáticas (CERT), equipos de respuesta a
incidentes de seguridad informática (CSIRT), proveedores de redes y servicios de
comunicaciones electrónicas y proveedores de tecnologías y servicios de seguridad, podrán
tratar los datos personales contenidos en tales notificaciones, exclusivamente durante el
tiempo y alcance necesarios para su análisis, detección, protección y respuesta ante
incidentes y adoptando las medidas de seguridad adecuadas y proporcionadas al nivel de
riesgo determinado.