¿Qué es una brecha de datos personales?
El RGPD la define como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a ellos (art. 4.12). Se clasifican en tres tipos, que pueden darse a la vez:
- Confidencialidad: alguien accede a datos que no debía (un correo enviado al destinatario equivocado, una base de datos expuesta).
- Integridad: los datos se alteran sin autorización.
- Disponibilidad: los datos dejan de estar accesibles, por ejemplo por un ransomware sin copia de seguridad.
¿Cuándo hay que notificar?
El responsable debe notificar a la autoridad de control sin dilación indebida y, a ser posible, en un máximo de 72 horas desde que tenga constancia de la brecha, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas (art. 33.1 RGPD). Si se notifica más tarde, hay que explicar los motivos del retraso.
Si el riesgo es alto, además hay que comunicarlo a los afectados en un lenguaje claro y sencillo (art. 34). Esta comunicación no es necesaria si los datos estaban cifrados de forma robusta, si las medidas posteriores eliminan el riesgo alto o si supone un esfuerzo desproporcionado (en cuyo caso se usa una comunicación pública).
Las 72 horas cuentan desde que se tiene constancia razonable de la brecha, no desde que termina la investigación. Puedes notificar por fases (art. 33.4) y completar la información después.
Si un proveedor (encargado) sufre la brecha, debe avisarte sin dilación indebida (art. 33.2). Revisa que tus contratos fijen un plazo concreto, por ejemplo 24 horas.
Qué información pide la notificación
- Naturaleza de la brecha: categorías y número aproximado de interesados y de registros afectados.
- Datos de contacto del DPO o de otro punto de contacto.
- Consecuencias probables.
- Medidas adoptadas o propuestas para remediar la brecha y mitigar sus efectos.
La notificación se presenta a través de la sede electrónica de la AEPD. La agencia ofrece además herramientas de apoyo, como Asesora Brecha (ayuda a decidir si hay que notificar) y Comunica-Brecha RGPD (ayuda a valorar si hay que informar a los afectados).
Plan hora a hora
| Momento | Acciones |
|---|---|
| Hora 0 | Detección y registro del incidente. Se avisa al responsable de seguridad y al DPO. |
| 0–4 h | Contención: aislar sistemas, revocar credenciales y preservar evidencias (logs, imágenes de disco). |
| 4–24 h | Análisis: qué datos, cuántas personas, tipo de brecha y gravedad. Primera valoración del riesgo. |
| 24–48 h | Decisión de notificar, con la dirección y el DPO. Preparación del borrador y de la comunicación a afectados si el riesgo es alto. |
| Antes de 72 h | Notificación a la AEPD (completa o inicial por fases). |
| Después | Comunicación a afectados, lecciones aprendidas y anotación en el registro de brechas. |
Documenta todas las brechas, también las que no notifiques: hechos, efectos y medidas (art. 33.5). Ese registro es lo primero que pide la AEPD en una inspección.
Si además estás sujeto a NIS2
Las entidades esenciales e importantes de la Directiva NIS2 tienen un régimen paralelo para incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes (art. 23), dirigidos al CSIRT o autoridad competente (en España, INCIBE-CERT o CCN-CERT según el caso). Un mismo incidente puede requerir ambas notificaciones, así que conviene tener un único procedimiento con dos salidas.
Fuentes y lecturas recomendadas
Artículo divulgativo actualizado a octubre de 2026. La normativa cambia: comprueba siempre la versión vigente en las fuentes oficiales. No constituye asesoramiento jurídico.