Brechas de seguridad y RGPD: qué hacer en las primeras 72 horas (sin meter la pata)
Una brecha de seguridad no es solo «me han hackeado». En RGPD, brecha es cualquier incidente que provoque:
- destrucción,
- pérdida,
- alteración,
- acceso no autorizado,
- o divulgación indebida
…de datos personales.
Y aquí viene lo importante: cuando pasa, el reloj corre. En muchos casos, tienes 72 horas para notificar a la autoridad de control (en España, la AEPD). Si te quedas parado, improvisas o lo tapas, el problema se multiplica.
En esta guía te explico qué hacer paso a paso, con un enfoque práctico para pymes y autónomos.
1) Primero: calma. Segundo: confirma si es brecha de datos personales
Antes de entrar en pánico, responde a estas preguntas:
- ¿Hay datos personales implicados? (clientes, empleados, leads, proveedores…)
- ¿Se han visto comprometidos confidencialidad, integridad o disponibilidad?
- ¿Ha habido acceso por alguien que no debía?
Ejemplos típicos de brecha en negocios pequeños:
- te roban el portátil con datos de clientes
- un empleado envía un Excel con datos a un destinatario equivocado
- un proveedor te avisa de un acceso no autorizado
- ransomware que cifra tu servidor
- un formulario web expone datos por un fallo
Si hay datos personales afectados, trátalo como brecha hasta que demuestres lo contrario.
2) Las 72 horas: qué significa exactamente
Las 72 horas empiezan a contar desde que tienes conocimiento de la brecha (no desde que ocurrió).
Ojo: «tener conocimiento» no es tener todos los detalles. Es saber que probablemente ha habido un incidente con datos personales.
Por eso, lo peor que puedes hacer es esperar a «tenerlo todo claro» para empezar.
3) Paso a paso: qué hacer en las primeras horas
Paso 1: Contener el incidente
Objetivo: que no vaya a más.
- cambia contraseñas y revoca accesos
- desconecta sistemas comprometidos (si procede)
- bloquea cuentas sospechosas
- activa copias de seguridad / planes de recuperación
- contacta con tu proveedor (hosting, CRM, email, etc.)
Si no tienes equipo técnico, apóyate en tu proveedor IT o en el soporte de la herramienta.
Paso 2: Documentar desde el minuto 1
Aunque al final no tengas que notificar, documenta.
Apunta:
- fecha y hora en que detectas el incidente
- cómo lo detectas
- sistemas afectados
- categorías de datos implicados
- número aproximado de afectados
- medidas que estás tomando
Esto te salva si luego hay reclamación.
Paso 3: Evaluar el riesgo para las personas
El RGPD no obliga a notificar «todo», obliga a notificar cuando la brecha puede suponer un riesgo para los derechos y libertades.
Riesgo alto típico:
- datos bancarios
- credenciales de acceso
- datos de salud
- menores
- datos que puedan causar fraude, suplantación o daño reputacional
Riesgo más bajo (pero ojo):
- datos mínimos y cifrados
- datos sin posibilidad real de identificar a alguien
Aquí es donde muchas pymes fallan: o notifican sin criterio o no notifican cuando toca.
4) ¿Cuándo hay que notificar a la AEPD?
Debes notificar a la AEPD si es probable que la brecha suponga un riesgo.
Y si no notificas, debes poder justificarlo.
La notificación suele incluir:
- naturaleza de la brecha
- categorías y volumen de datos
- número de afectados (aproximado)
- consecuencias probables
- medidas adoptadas
- datos de contacto
Si no tienes toda la info en 72 horas, se puede notificar de forma inicial y ampliar después, pero no te quedes quieto.
5) ¿Cuándo hay que informar a los afectados?
Si la brecha es probable que suponga un alto riesgo para las personas, además de la AEPD, tienes que comunicarlo a los afectados sin dilación indebida.
Ejemplo: filtración de contraseñas, datos bancarios o datos sensibles.
La comunicación debe ser clara:
- qué ha pasado
- qué datos pueden estar afectados
- qué riesgos hay
- qué medidas has tomado
- qué pueden hacer ellos (cambiar contraseña, vigilar movimientos, etc.)
No vale con un texto genérico para cubrir expediente.
6) Errores típicos que te meten en un lío
- Ocultar la brecha «para que no se enteren»
- Esperar a tener todos los detalles para actuar
- No documentar nada
- No revisar si el proveedor es encargado y qué obligaciones tiene
- Comunicar a afectados tarde o con mensajes confusos
- No tener un procedimiento interno (aunque sea simple)
7) Qué deberías tener preparado ANTES de que pase
Porque va a pasar (a ti o a un proveedor). Y cuando pasa, no hay tiempo.
Checklist mínimo:
- inventario de tratamientos (RAT)
- listado de proveedores con acceso a datos
- contratos de encargo al día
- procedimiento de gestión de brechas
- plantilla de registro de incidentes
- plan de copias y recuperación
- responsables internos (quién decide y quién ejecuta)
Con eso, la diferencia entre «susto» y «catástrofe» es enorme.
8) Cómo te ayuda Torreón Legal
En Torreón Legal te dejamos el cumplimiento montado para que, si un día hay brecha:
- sepas qué hacer y en qué orden
- tengas el procedimiento y el registro listos
- tengas proveedores y contratos bien atados
- puedas justificar decisiones (notificar/no notificar)
La idea es simple: menos improvisación, menos riesgo y más tranquilidad.
FAQ rápida
¿Siempre hay que notificar una brecha a la AEPD?
No siempre. Depende del riesgo. Pero si no notificas, tienes que poder justificarlo.
¿Y si la brecha la sufre mi proveedor (hosting, CRM, etc.)?
Puede afectarte igual. Por eso es clave tenerlos identificados y con obligaciones claras.
¿Qué pasa si notifico fuera de plazo?
No es automático que te sancionen, pero te deja en mala posición. Lo importante es actuar rápido y documentar.