¿Qué es una brecha de seguridad y cuándo debo notificarla?

Una brecha de seguridad es cualquier incidente que ponga en riesgo la confidencialidad, integridad o disponibilidad de los datos personales. Esto puede incluir un ciberataque, la pérdida de un dispositivo, el acceso no autorizado a información o incluso un error humano que exponga datos. La clave para la notificación es el riesgo: si la brecha puede afectar los derechos y libertades de las personas, tienes la obligación de comunicarla.

Identificando el riesgo real

No todas las brechas requieren notificación. Por ejemplo, si se pierde un portátil con la información cifrada y la clave de cifrado no se ha visto comprometida, es posible que el riesgo sea bajo y no necesites notificar. Sin embargo, si se filtra una base de datos con nombres, direcciones y números de teléfono, el riesgo es alto y la notificación es obligatoria. Evalúa cada caso con sentido común y, ante la duda, documenta tu decisión.

El Plan de Acción: Pasos para el reporte brecha 72h

Cuando el reloj empieza a correr, la improvisación es tu peor enemigo. Necesitas un plan claro y directo para gestionar la crisis y cumplir con tu obligación del reporte brecha 72h.

Paso 1: Contención Inmediata

Lo primero es detener la brecha. Aísla los sistemas afectados, revoca credenciales, cambia contraseñas. El objetivo es minimizar el daño y evitar que el problema se extienda. Documenta cada acción que tomes desde el primer minuto.

Paso 2: Evaluación y Documentación

Investiga qué ha pasado. ¿Qué datos se han visto afectados? ¿Cuántas personas? ¿Cuál es el posible impacto? Esta información es fundamental para completar el formulario de la AEPD. Un análisis superficial puede llevar a errores que cuestan caros, como demuestran algunas sanciones por protección de datos.

Paso 3: Notificación a la AEPD

Accede a la sede electrónica de la AEPD y completa el formulario de notificación. Sé claro y conciso. Describe la naturaleza de la brecha, las categorías de datos y de interesados afectados, las consecuencias probables y las medidas que has tomado. No ocultes información; la transparencia es tu mejor aliada. Como referencia, el blog de la propia AEPD suele ofrecer contexto sobre su criterio.

¿Y si no llego a tiempo con el reporte brecha 72h?

El plazo es estricto, pero la AEPD entiende que en 72 horas puede que no tengas toda la información. Si es el caso, presenta una notificación inicial con los datos que tengas y explica que seguirás investigando. Es mucho mejor una notificación incompleta pero a tiempo, que una perfecta pero tardía. Puedes complementarla más adelante. La clave es demostrar que estás actuando con diligencia, tal y como se espera de un buen perfil de DPO en 2026.

Si necesita asesoramiento especialista para su caso particular en esta materia, estaremos encantados de escuchar su necesidad para proponerle un opción de servicio ajustada a su caso. Si está interesado, por favor déjenos su consulta en la sección contactar y en breve le responderemos.