¿Tengo que notificar esta brecha?

Cómo notificar una brecha a la AEPD: plazos y criterios

Cualquier organización, independientemente de su tamaño, puede sufrir un incidente de seguridad: un correo masivo enviado con las direcciones en copia visible (CC) en lugar de oculta, un ordenador portátil extraviado sin cifrar, una brecha provocada por un engaño de phishing o un ataque de ransomware que bloquea el acceso a sus servidores.

En todos estos supuestos nos encontramos ante una brecha de seguridad de los datos personales según el Reglamento General de Protección de Datos (RGPD). Ahora bien, que se haya producido un incidente no significa automáticamente que deba comunicarse a la Agencia Española de Protección de Datos (AEPD). Saber cuándo existe la obligación legal de notificar, en qué plazo debe hacerse y cómo documentarlo es indispensable para proteger los derechos de las personas afectadas y evitar sanciones por falta de diligencia.

Criterios: ¿cuándo es obligatorio notificar?

El artículo 33 del RGPD establece que el responsable del tratamiento debe notificar la brecha a la AEPD a menos que sea improbable que dicha violación constituya un riesgo para los derechos y las libertades de las personas físicas. Para evaluar si existe ese riesgo, su organización debe analizar cuatro factores clave:

1. La naturaleza y tipología de los datos. No entraña el mismo peligro la filtración de un listado corporativo con nombres y teléfonos que el acceso no autorizado a credenciales de acceso, historiales clínicos, nóminas, números de cuenta bancaria o categorías especiales de datos (origen étnico, convicciones religiosas, datos biométricos o de salud, contemplados en el artículo 9 del RGPD).
2. El tipo de afección. Las brechas pueden comprometer la confidencialidad (acceso no autorizado o filtración), la integridad (modificación o manipulación) o la disponibilidad (destrucción, borrado o cifrado por ransomware). Un corte temporal que se solventa en minutos gracias a copias de seguridad no genera el mismo impacto que la pérdida irreversible de información.
3. El volumen y las circunstancias de los afectados. Debe valorarse tanto el número de personas involucradas como su grado de vulnerabilidad (por ejemplo, menores o colectivos protegidos).
4. Las medidas técnicas previas. Si los datos afectados contaban con un cifrado robusto y la clave de descifrado no ha sido comprometida, el riesgo real para los afectados es prácticamente inexistente, lo que puede justificar no notificar (artículo 33.1 del RGPD). El artículo 34.3.a exime además, en ese caso, de comunicarlo a los afectados.

Si de esta evaluación se deduce que las personas afectadas pueden sufrir perjuicios económicos, usurpación de identidad, discriminación o una pérdida efectiva de confidencialidad, la notificación es imperativa.

Los plazos: el reloj de las 72 horas

El RGPD fija un plazo estricto: la notificación a la AEPD debe formalizarse sin dilación indebida y, a más tardar, en 72 horas. Es fundamental comprender con exactitud cómo computa este plazo:

• El momento de inicio. El reloj no empieza a contar cuando se produjo el ataque o el error, sino desde el instante en que usted tiene constancia razonable de que ha ocurrido. Una mera sospecha exige comprobación técnica; una vez confirmada la brecha, el plazo de 72 horas corre de forma ininterrumpida, incluyendo fines de semana y festivos.
• Notificación por fases. Una de las mayores dudas en las organizaciones pequeñas es qué hacer si en 72 horas todavía no disponen de todas las respuestas técnicas. El artículo 33.4 del RGPD contempla expresamente esta situación: debe presentarse una primera notificación con los datos recabados hasta ese momento y ampliarse posteriormente por fases a medida que avance la investigación. Esperar a tener un informe pericial cerrado para notificar fuera de plazo constituye una infracción directa.

Cómo presentar la notificación en la práctica

La notificación a la AEPD no se realiza mediante un correo electrónico genérico ni por un escrito en papel:

1. Se tramita a través de la sede electrónica de la AEPD, utilizando el procedimiento específico habilitado para brechas de seguridad.
2. El formulario oficial exige detallar la naturaleza de la brecha, las categorías y el número aproximado de afectados, las posibles consecuencias, las medidas de contención ya adoptadas o propuestas, y los datos de contacto del delegado de protección de datos (DPD) o del responsable del incidente.

Antes de hacerlo, puede orientarse con la herramienta oficial de la AEPD, Asesora Brecha, o con el asistente de esta misma página.

¿Hay que avisar también a los afectados?

La comunicación a las personas afectadas (artículo 34 del RGPD) solo es preceptiva cuando la brecha entrañe un alto riesgo. En ese caso, la advertencia debe hacerse directamente y en un lenguaje comprensible, explicando con claridad qué ha ocurrido, qué consecuencias puede tener y qué pautas prácticas deben seguir los afectados (como modificar contraseñas o vigilar cargos bancarios).

La obligación que suele olvidarse: el artículo 33.5

Existe una obligación legal que suele pasarse por alto con facilidad: el artículo 33.5 del RGPD exige documentar cualquier violación de la seguridad, incluidas aquellas que, de forma motivada, se decida no notificar a la autoridad.

Mantener al día un registro interno de incidentes y brechas en el que se reflejen los hechos, los efectos valorados, el análisis de riesgo y los motivos de la decisión final es su principal garantía. Si un tercero denuncia el caso o la autoridad requiere explicaciones más adelante, poder exhibir esa valoración razonada acredita su diligencia y puede ser decisivo. Para hacerlo, tiene nuestro registro interno de incidentes y brechas.