Una brecha de datos personales puede ocurrir en cualquier empresa, independientemente de su tamaño. Un ataque de ransomware, un email enviado al destinatario equivocado, un dispositivo perdido con datos de clientes o un acceso no autorizado a un sistema interno: todos son brechas de datos que activan obligaciones legales muy concretas.
El RGPD establece plazos estrictos para actuar. No conocerlos puede convertir un incidente gestionable en una sanción importante. En este artículo encontrarás el protocolo completo para gestionar una brecha desde el momento en que se detecta.
Qué es exactamente una brecha de datos personales
Según el RGPD, una brecha de seguridad de los datos personales es todo incidente que ocasione, de forma accidental o ilícita, la destrucción, pérdida, alteración, comunicación no autorizada o el acceso no autorizado a datos personales.
Esto incluye situaciones muy diversas:
- Un ataque de ransomware o ciberataque que cifra o roba datos de la empresa
- Un email con datos de clientes enviado por error a una persona no autorizada
- La pérdida o robo de un ordenador portátil, móvil o disco duro con datos personales
- Un acceso interno no autorizado a sistemas con información sensible
- Un fallo técnico que ha expuesto datos de usuarios en internet
- La eliminación accidental de datos que no ha podido recuperarse
No toda brecha tiene la misma gravedad, pero todas deben ser evaluadas. Y algunas de ellas generan obligaciones de notificación con plazos muy estrictos.
El plazo de 72 horas para notificar a la AEPD: qué implica
El RGPD establece que, cuando se produce una brecha de datos que supone un riesgo para los derechos y libertades de las personas afectadas, el responsable del tratamiento debe notificarla a la autoridad de control, en España, la AEPD, en un plazo máximo de 72 horas desde que tuvo conocimiento de ella.
Este plazo es muy corto. Y hay que entender bien qué significa:
- Las 72 horas empiezan a contar desde que la empresa tiene conocimiento del incidente, no desde que este ocurrió.
- Si no es posible proporcionar toda la información en ese plazo, se puede hacer una notificación inicial con los datos disponibles y completarla después.
- Si la brecha no supone riesgo para las personas afectadas (por ejemplo, datos ya encriptados que son inaccesibles), no es obligatorio notificarla a la AEPD, pero sí documentarla internamente.
La notificación debe incluir: descripción de la brecha, categorías y número aproximado de personas afectadas, consecuencias previsibles, medidas adoptadas o propuestas para remediar la situación, y datos de contacto del DPD.
Cuándo hay que comunicarlo también a los afectados
Además de notificar a la AEPD, en determinados casos hay que comunicar la brecha directamente a las personas afectadas. Esto ocurre cuando la brecha supone un riesgo alto para sus derechos y libertades.
Se considera riesgo alto cuando la brecha puede dar lugar a discriminación, robo de identidad, pérdida financiera, daño a la reputación u otras consecuencias graves para las personas afectadas.
La comunicación a los afectados debe describir de forma clara qué ocurrió, qué datos se han visto comprometidos, las consecuencias previsibles y qué medidas ha tomado la empresa. Debe realizarse sin dilación indebida.
Plan de acción paso a paso ante una brecha de datos
Este es el protocolo que debes seguir cuando detectas una brecha:
| Paso | Completado | En proceso | Pendiente |
| 1. DETECTAR Y CONTENER: Identificar el incidente, detener el acceso no autorizado o el daño en curso y preservar las evidencias | □ | □ | □ |
| 2. EVALUAR EL IMPACTO: Determinar qué datos se han visto comprometidos, cuántas personas afectadas, qué tipo de datos y cuál es el riesgo real | □ | □ | □ |
| 3. NOTIFICAR A LA AEPD si hay riesgo para los afectados: hacerlo dentro de las 72 horas. Si no se tiene toda la información, notificar lo que se sabe y completar después | □ | □ | □ |
| 4. COMUNICAR A LOS AFECTADOS si el riesgo es alto: sin dilación indebida, con la información requerida por el RGPD | □ | □ | □ |
| 5. DOCUMENTAR el incidente completo: descripción, impacto, medidas adoptadas y conclusiones. Esta documentación es obligatoria aunque no haya que notificar a la AEPD | □ | □ | □ |
| 6. REVISAR Y CORREGIR: Implementar las medidas correctoras identificadas y actualizar los protocolos de seguridad para prevenir incidentes similares | □ | □ | □ |
Cómo documentar el incidente correctamente
El RGPD exige que el responsable del tratamiento documente todas las brechas de datos, incluyendo las que no han requerido notificación. Esta documentación debe incluir:
- Descripción de la brecha: qué ocurrió, cómo se detectó y cuándo
- Categorías de datos afectados y número aproximado de personas
- Impacto estimado en los derechos de los afectados
- Medidas tomadas para remediar la situación
- Si se notificó a la AEPD y/o a los afectados: cuándo y con qué información
Esta documentación debe conservarse y estar disponible si la AEPD la solicita. Es también la base para aprender del incidente y mejorar los protocolos internos.
Cómo prevenir la próxima brecha
Ningún sistema de seguridad es infalible, pero hay medidas que reducen significativamente el riesgo:
- Copias de seguridad periódicas y verificadas, almacenadas de forma segura y separada del sistema principal
- Control de accesos: que cada empleado solo tenga acceso a los datos que necesita para su función
- Formación del equipo sobre phishing y prácticas de seguridad básicas
- Cifrado de datos especialmente sensibles
- Revisión periódica de los sistemas y herramientas para detectar vulnerabilidades
Y, sobre todo, tener un DPD que defina y supervise el protocolo de respuesta antes de que ocurra nada. Actuar sin protocolo bajo presión de tiempo es la causa de muchos errores evitables.
Si quieres ver cómo de preparada está tu empresa para gestionar una brecha, consulta nuestro checklist de cumplimiento RGPD y la guía sobre el Delegado de Protección de Datos.