Brechas de seguridad y RGPD: qué hacer en las primeras 72 horas (paso a paso)
Si sufres una brecha de seguridad, el RGPD te da 72 horas para reaccionar. Te explico qué hacer paso a paso para reducir daños y evitar sanciones.
Brecha de seguridad: no es “solo un hackeo”
Cuando hablamos de brecha de seguridad en protección de datos, mucha gente piensa en un “ciberataque de película”. Pero en el RGPD una brecha puede ser algo mucho más cotidiano:
Te roban un portátil con datos de clientes.
Mandas un email con datos personales al destinatario equivocado.
Se filtra un Excel con nóminas.
Un empleado comparte una carpeta sin querer.
Tu proveedor (encargado del tratamiento) sufre un incidente.
Y sí: aunque no haya “hackers”, si hay pérdida, acceso no autorizado, destrucción o divulgación de datos personales, estás ante una brecha.
La clave: lo que hagas en las primeras 72 horas marca la diferencia entre “incidente controlado” y “problema serio con la AEPD”.
Qué exige el RGPD (y por qué lo de las 72 horas es tan importante)
El RGPD obliga a notificar a la autoridad de control (en España, la AEPD) determinadas brechas de seguridad.
Plazo: sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tienes constancia.
Ojo con esto: el reloj empieza cuando “tienes constancia”, no cuando ocurrió el incidente.
Además, en algunos casos también tendrás que comunicar la brecha a las personas afectadas.
Paso 0 (antes de correr): confirma si realmente hay brecha
Parece obvio, pero en el caos del momento se cometen dos errores típicos:
No hacer nada “porque no estamos seguros”.
Notificar a lo loco sin tener información mínima.
Lo correcto es activar un mini-protocolo interno:
Recoge hechos: qué ha pasado, cuándo se detecta, quién lo detecta.
Identifica sistemas afectados: email, CRM, servidor, nube, móvil, etc.
Determina si hay datos personales implicados.
Si hay datos personales y ha habido acceso/pérdida/divulgación no autorizada, trátalo como brecha hasta que se demuestre lo contrario.
Paso 1 (0–6 horas): contén el incidente y evita que vaya a más
Objetivo: parar la hemorragia.
Acciones típicas (según el caso):
Cambiar contraseñas y revocar accesos.
Cerrar sesiones abiertas.
Aislar equipos comprometidos.
Bloquear cuentas sospechosas.
Desactivar enlaces públicos.
Recuperar copias de seguridad si procede.
Contactar con el proveedor tecnológico si el incidente es en su plataforma.
Consejo práctico: documenta todo lo que haces (hora, acción, responsable). Esto luego te salva.
Paso 2 (0–24 horas): evalúa el riesgo para las personas
El RGPD no te pide “notifica todo”. Te pide que valores el riesgo para los derechos y libertades de las personas.
Preguntas clave:
Qué tipo de datos se han visto afectados (identificativos, bancarios, salud, menores…).
Cuántas personas están afectadas.
Si los datos estaban cifrados o pseudonimizados.
Si el acceso fue interno o externo.
Si hay posibilidad de suplantación de identidad, fraude, extorsión, daño reputacional, etc.
Regla rápida:
Datos sensibles + acceso no autorizado = riesgo alto casi seguro.
Datos básicos pero en volumen grande = riesgo medio/alto.
Datos cifrados y sin posibilidad real de acceso = riesgo bajo.
Paso 3 (antes de 72 horas): decide si hay que notificar a la AEPD
Tienes que notificar a la AEPD si es probable que la brecha suponga un riesgo para los derechos y libertades de las personas.
Si el riesgo es poco probable, no se notifica… pero OJO: debes documentar igualmente la brecha y tu decisión.
Qué incluir en la notificación (mínimos RGPD)
Naturaleza de la brecha (qué ha pasado).
Categorías y número aproximado de afectados.
Categorías y número aproximado de registros.
Consecuencias probables.
Medidas adoptadas o propuestas para remediar y mitigar.
Si no tienes todo en 72 horas, puedes notificar con lo que tengas y ampliar después. Lo importante es no quedarte quieto.
Paso 4 (si aplica): comunica a los afectados (sin meter más miedo del necesario)
Debes comunicar la brecha a las personas afectadas cuando sea probable que entrañe un alto riesgo.
Esto suele pasar, por ejemplo, si:
Se han filtrado contraseñas.
Hay datos bancarios.
Hay datos de salud.
Hay datos que permiten fraude o suplantación.
Cómo comunicar bien:
Claro y directo: qué ha pasado.
Qué datos pueden estar afectados.
Qué riesgos reales existen.
Qué medidas has tomado.
Qué pueden hacer ellos (cambiar contraseña, vigilar movimientos, etc.).
Canal de contacto para dudas.
Evita el típico texto “legal” que no entiende nadie. Aquí la transparencia es tu aliada.
Paso 5 (72 horas en adelante): aprende, corrige y deja el sistema mejor
Una brecha es una señal. Si la ignoras, se repite.
Checklist post-incidente:
Revisión de accesos y permisos.
Formación rápida al equipo (errores comunes: emails, enlaces, contraseñas).
Mejoras técnicas: 2FA, cifrado, backups, logs.
Revisión de contratos con encargados del tratamiento.
Actualizar el Registro de Actividades (si procede).
Revisar si necesitas una Evaluación de Impacto (DPIA) en tratamientos de riesgo.
Documento obligatorio: registro interno de brechas
Aunque no notifiques a la AEPD, el RGPD exige llevar un registro interno de brechas.
Qué debe incluir:
Fecha y hora de detección.
Descripción.
Datos afectados.
Evaluación de riesgo.
Decisión de notificar o no.
Medidas tomadas.
Esto, en una inspección, es de lo primero que te piden.
Errores que más se ven (y que salen caros)
Esperar a “tenerlo claro” y dejar pasar el plazo.
No documentar nada.
No evaluar el riesgo (decidir por intuición).
No tener control sobre proveedores.
No comunicar a afectados cuando toca.
Mini-guía para PYMES y autónomos: protocolo simple de 1 página
Si quieres algo práctico, aquí tienes un protocolo básico:
Detecto incidente → lo registro.
Contengo (cierro accesos, cambio contraseñas, bloqueo).
Evalúo riesgo (tipo de datos + volumen + medidas de seguridad).
Decido: notificar AEPD sí/no.
Si riesgo alto: informo a afectados.
Registro todo y mejoro medidas.
Cómo te ayuda Torreón Legal
Si te pasa una brecha, lo peor es improvisar. En Torreón Legal te ayudamos a:
Tener un protocolo de brechas listo para usar.
Definir responsables internos y pasos claros.
Preparar la documentación para justificar decisiones.
Revisar contratos con proveedores y medidas técnicas mínimas.
Porque la diferencia entre “me ha pasado algo” y “me han sancionado” muchas veces está en cómo reaccionas.
Preguntas frecuentes (FAQ)
¿Cuándo empiezan a contar las 72 horas del RGPD?
Desde que tienes constancia razonable de que ha ocurrido una brecha con datos personales.
¿Tengo que notificar siempre a la AEPD?
No. Solo si es probable que suponga un riesgo para las personas. Si no notificas, debes documentar la decisión.
¿Y si el incidente lo sufre mi proveedor?
Sigue siendo tu responsabilidad como responsable del tratamiento. El proveedor debe informarte sin dilación, pero tú decides y notificas si procede.
¿Qué pasa si notifico tarde?
Puede considerarse incumplimiento del RGPD y agravar el problema en caso de inspección.
¿Puedo notificar con información incompleta?
Sí. Notifica en plazo con lo que tengas y amplía después.