← Blog de tecnología e IA para pymes
Brecha de datos personales: qué hacer en las primeras 72 horas
Si tu empresa sufre una brecha de datos personales, el responsable del tratamiento debe notificarla a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Esas horas cuentan también en fines de semana y festivos. Conviene tener el procedimiento pensado antes de necesitarlo.
¿Qué es una brecha de datos personales?
Una brecha de datos personales es, según el RGPD, toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos. No es solo un ataque informático: también lo es enviar por error una hoja de clientes a un destinatario equivocado, perder un portátil sin cifrar o que un ransomware deje inaccesibles los ficheros con datos de personas.
Por tanto, el criterio no es «nos han atacado», sino «han quedado afectados datos personales».
¿Hay que notificar todas las brechas?
No. El artículo 33 del RGPD exige notificar a la autoridad de control cuando sea probable que la brecha constituya un riesgo para los derechos y libertades de las personas físicas. La guía de la AEPD subraya que el parámetro es el riesgo para esas personas, no el riesgo para la empresa.
Hay dos umbrales distintos:
| Situación | Qué exige el RGPD |
|---|---|
| Es improbable que haya riesgo para las personas | No hay que notificar a la AEPD, pero sí documentar la brecha |
| Es probable que haya riesgo | Notificar a la AEPD en 72 horas como máximo |
| Es probable un alto riesgo | Notificar a la AEPD y comunicarlo también a las personas afectadas, sin dilación indebida |
¿Desde cuándo corren las 72 horas?
Corren desde que el responsable del tratamiento tiene constancia de que el incidente de seguridad ha afectado a datos personales. Si eres encargado del tratamiento (por ejemplo, un proveedor que gestiona datos de tu cliente), debes avisar al responsable sin dilación indebida; el RGPD no fija un plazo concreto, y la AEPD recomienda concretarlo en el contrato de encargo sin superar las 72 horas.
¿Qué hacer paso a paso?
flowchart TD
A["Detectas un incidente"] --> B{"¿Afecta a datos personales?"}
B -->|No| C["Gestiónalo como incidente de seguridad"]
B -->|Sí| D["Contén y documenta"]
D --> E{"¿Riesgo para las personas?"}
E -->|Improbable| F["Registro interno"]
E -->|Probable| G["Notificar a la AEPD"]
G --> H{"¿Alto riesgo?"}
H -->|Sí| I["Comunicar a los afectados"]
- Contener. Aísla los equipos o cuentas afectados, cambia credenciales y corta el acceso no autorizado. Es lo primero, pero no sustituye al resto.
- Apuntar la hora de conocimiento. Anota cuándo y cómo se detectó. De ahí se cuentan las 72 horas.
- Reunir los hechos. Qué datos, de cuántas personas aproximadamente, qué categorías de datos y qué ha podido ocurrir con ellos.
- Evaluar el riesgo para las personas. Piensa en el daño posible: suplantación de identidad, fraude, exposición de datos sensibles. Cifrar los datos de forma segura puede reducir ese riesgo, y la guía de la AEPD lo tiene en cuenta en sus ejemplos.
- Decidir y registrar la decisión. Tanto si notificas como si no, deja por escrito el motivo.
- Notificar a la AEPD mediante el formulario de brechas de su sede electrónica, si procede.
- Comunicar a los afectados con lenguaje claro y sencillo, si el riesgo es alto.
- Corregir la causa para que no se repita.
¿Qué contenido debe tener la notificación?
El artículo 33 del RGPD fija un contenido mínimo:
- La naturaleza de la violación, con las categorías y el número aproximado de personas y de registros afectados.
- El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto.
- Las posibles consecuencias.
- Las medidas adoptadas o propuestas para poner remedio y mitigar los efectos.
Si no tienes toda la información a tiempo, el RGPD permite facilitarla por fases. La AEPD admite una notificación «inicial» antes de las 72 horas con la información preliminar de que se disponga, y pide completarla con una «modificación» antes de un máximo de 30 días hábiles desde la notificación inicial. La guía indica que no hace falta adjuntar documentación adicional al formulario: la AEPD la pedirá si la necesita.
¿Por qué hace falta un registro de incidentes?
El responsable debe documentar cualquier brecha, incluidos los hechos, sus efectos y las medidas adoptadas, y también las decisiones sobre notificar o comunicar (con copia de la comunicación si se hace). No existe un modelo oficial único; la AEPD indica que cada organización usa el que mejor encaje y menciona que su herramienta Facilita-Emprende ofrece un modelo para empresas dentro de su ámbito de aplicación.
Un registro sencillo, en una hoja compartida, basta para empezar: fecha y hora de detección, descripción, datos afectados, valoración del riesgo, decisión tomada y responsable.
Checklist antes de que ocurra
- Una persona designada como responsable de gestionar incidentes y un suplente.
- Un procedimiento de una página con los pasos anteriores.
- Un registro de incidentes ya creado.
- Contratos con proveedores que fijen en cuánto tiempo deben avisarte de una brecha.
- Equipos portátiles y copias de seguridad cifrados.
- Teléfonos de contacto de quien te da soporte técnico a mano, también en fin de semana.
Estado normativo a 9 de noviembre de 2026, según el texto del RGPD y la guía de la AEPD citados en las fuentes. La AEPD puede actualizar su formulario y sus criterios, por lo que conviene consultar siempre su sede electrónica.
Si quieres revisar cómo estás preparado ante un incidente de este tipo, puedes empezar por la auditoría gratuita.
