Cómo gestionar una brecha de seguridad y notificarla a la AEPD sin sanciones

Una brecha de seguridad no siempre termina en sanción. A veces sí y por eso nos preguntamos: cómo gestionar una brecha de seguridad. De hecho, la propia AEPD deja claro que la notificación de una brecha no implica automáticamente la apertura de un procedimiento sancionador. El problema suele venir por otro lado: llegar tarde, no documentar bien lo ocurrido, minimizar el incidente sin analizar el riesgo o no comunicarlo a quien corresponde dentro del plazo legal. Por eso, cuando me preguntan cómo actuar ante una brecha de seguridad, mi respuesta siempre es la misma: hay que moverse rápido, pero con método.

En mi experiencia implantando procedimientos de brechas de seguridad y documentando incidentes en organizaciones con varios países y equipos internos muy distintos, el mayor error no suele estar en el incidente inicial, sino en la reacción improvisada. Cuando no existe un protocolo claro, se pierde tiempo, se duplican mensajes, se borran pruebas sin querer y se toma una mala decisión justo en las primeras horas, que son las más delicadas.

En esta guía te explico qué hacer paso a paso para gestionar una brecha de datos personales, cuándo hay que notificarla a la AEPD, cuándo hay que comunicarla a los afectados y qué medidas ayudan de verdad a reducir el riesgo de sanción. Si quieres revisar antes si tu organización tiene una base mínima de cumplimiento, puede venirte bien este autodiagnóstico de protección de datos o, si necesitas apoyo especializado, esta guía sobre contratar un DPO en Madrid.

Qué se considera una brecha de seguridad de datos personales

No toda incidencia informática es, por sí sola, una brecha de datos personales. Para que entremos en el terreno del RGPD tiene que haberse producido una destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales, ya sea de forma accidental o ilícita. La AEPD y el propio enfoque del RGPD obligan a mirar el hecho concreto y su impacto real sobre los derechos y libertades de las personas.

Diferencia entre incidente de seguridad y brecha de datos personales

Un incidente de seguridad puede afectar a sistemas, credenciales, equipos, redes o procesos internos sin comprometer necesariamente datos personales. En cambio, hablamos de brecha de datos personales cuando esa incidencia toca datos identificativos, laborales, económicos, de salud, de clientes, empleados, alumnos, pacientes o cualquier otra información vinculada a una persona física.

Esto parece básico, pero en la práctica no siempre se analiza bien. He visto incidentes que se etiquetan demasiado rápido como “problema técnico” cuando en realidad ya había riesgo para los interesados, y también casos en los que se activa una alarma desproporcionada antes de comprobar si realmente había exposición de datos. La clave está en no correr ni en un sentido ni en el otro: primero hay que verificar qué ha pasado, qué datos estaban implicados, quién ha podido acceder y qué consecuencias razonables pueden derivarse.

Brechas de confidencialidad, integridad y disponibilidad

La clasificación más útil distingue entre:

• Brechas de confidencialidad: acceso o divulgación no autorizada de datos. Por ejemplo, un envío masivo con destinatarios visibles o una intrusión en una base de datos.
• Brechas de integridad: alteración no autorizada de la información. Por ejemplo, modificación de historiales, expedientes o registros.
• Brechas de disponibilidad: pérdida, bloqueo o destrucción de datos personales. Por ejemplo, ransomware, borrado accidental o caída de sistemas sin copia recuperable.

Esta clasificación importa porque ayuda a medir el riesgo y a decidir la respuesta. No se valora igual una lista interna cifrada e inaccesible para terceros que una exposición de datos financieros o de salud. Tampoco es lo mismo perder temporalmente la disponibilidad de una agenda interna que bloquear el acceso a historiales clínicos o a expedientes académicos.

Qué hacer en las primeras horas tras detectar la brecha

Las primeras horas son decisivas. El plazo de 72 horas empieza desde que la organización tiene constancia de la brecha, no desde que termina la investigación completa. Por eso, esperar a “tenerlo todo cerrado” suele ser una mala estrategia. La prioridad es contener, preservar evidencias, activar a los responsables adecuados y abrir un registro interno serio desde el minuto uno. Si tienes una urgencia y tienes dudas, consulta aquí.

Contener el incidente sin destruir evidencias

Lo primero es frenar la exposición o limitar el daño: aislar cuentas comprometidas, bloquear accesos, revocar credenciales, desconectar sistemas afectados si es necesario y activar medidas técnicas urgentes. Pero hay que hacerlo sin arrasar con la prueba. Si alguien borra logs, sobreescribe correos, elimina archivos o modifica sistemas sin coordinación, después será mucho más difícil reconstruir lo ocurrido y justificar la diligencia de la empresa.

En la práctica, esto exige una coordinación real entre IT, legal, dirección y, cuando exista, el DPO. En organizaciones complejas, una de las cosas que mejor funciona es asignar desde el principio un responsable del incidente, otro de la parte técnica y otro de la documentación. Parece un detalle menor, pero marca una diferencia enorme cuando toca acreditar qué se hizo, cuándo y por qué.

Activar el protocolo interno y alinear a legal, IT y dirección

Si la empresa tiene protocolo de brechas, hay que activarlo. Y si no lo tiene, hay que improvisar lo menos posible. El esquema mínimo debería incluir:

• fecha y hora de detección;
• quién detecta el incidente;
• qué sistemas o procesos están afectados;
• qué categorías de datos pueden estar comprometidas;
• medidas de contención ya adoptadas;
• personas o departamentos implicados en la respuesta.

Este punto conecta directamente con la idea de registro de actividades de tratamiento. Si el mapa de tratamientos está bien hecho, identificar qué datos se han visto afectados, con qué finalidad se trataban, qué encargados intervenían y qué medidas existían antes del incidente resulta mucho más rápido. Dicho de forma clara: un buen RAT no evita por sí solo una brecha, pero sí evita que la gestión posterior sea un caos.

Cómo valorar si debes notificar la brecha a la AEPD

Aquí está una de las dudas más frecuentes. No toda brecha debe notificarse a la AEPD, pero toda brecha debe analizarse y documentarse. La notificación es obligatoria cuando exista riesgo para los derechos y libertades de las personas físicas. Y si el riesgo es alto, además habrá que comunicar la brecha a los afectados.

Cuándo existe riesgo para los derechos y libertades

Para valorar el riesgo hay que mirar el contexto completo. Algunos factores especialmente relevantes son:

• tipo de datos afectados;
• volumen de personas afectadas;
• facilidad de identificación de los interesados;
• posibles consecuencias económicas, reputacionales o discriminatorias;
• si hay menores, pacientes, empleados o colectivos vulnerables implicados;
• si los datos estaban cifrados o protegidos de forma robusta;
• si un tercero no autorizado ha accedido realmente a la información.

En mi caso, cuando he trabajado en procedimientos de brechas y seguimiento documental, la pregunta más útil nunca ha sido “¿nos puede caer una sanción?”, sino “¿qué daño real puede sufrir la persona afectada si esto se confirma?”. Ese cambio de enfoque mejora mucho la calidad del análisis y acerca la decisión a lo que realmente exige la normativa.

Cuándo no procede notificar, pero sí documentar

Si tras el análisis concluyes de forma razonada que la brecha no entraña riesgo para los derechos y libertades de los afectados, no tendrías obligación de notificar a la AEPD. Ahora bien, eso no significa archivar el asunto sin más. Debe quedar constancia de lo ocurrido, del análisis de riesgo realizado, de las medidas adoptadas y de por qué se concluye que no procedía notificar.

Este matiz es esencial. Muchas sanciones no nacen solo del incidente, sino de la incapacidad posterior para demostrar que se evaluó con criterio y que existió una respuesta diligente. Si la organización no puede enseñar su razonamiento, su cronología y sus evidencias, la defensa se debilita muchísimo.

Qué debe incluir la notificación a la AEPD

Si procede notificar, el objetivo no es redactar un texto perfecto, sino presentar una notificación suficiente, coherente y dentro de plazo. La AEPD permite completar información más adelante si todavía no se dispone de todos los datos. Esperar a tener un informe técnico definitivo puede ser un error si con ello se supera el plazo legal.

Información mínima que debes preparar

De forma práctica, la notificación debería recoger al menos:

• la naturaleza de la brecha;
• las categorías y, si es posible, el número aproximado de interesados afectados;
• las categorías y el número aproximado de registros afectados;
• las posibles consecuencias de la brecha;
• las medidas adoptadas o propuestas para remediarla y mitigar sus efectos;
• los datos de contacto del DPO o de la persona de referencia.

Además, conviene que la empresa conserve internamente una trazabilidad impecable de cómo ha llegado a esa versión de hechos. Esa parte no siempre luce en un artículo, pero en el terreno real vale oro. Cuando una empresa acredita que reaccionó de forma ordenada, que elevó el asunto a tiempo y que documentó cada hito, su posición cambia por completo.

Qué hacer si no tienes todos los datos dentro de las 72 horas

No pasa nada por no tenerlo todo cerrado, siempre que no utilices esa falta de información como excusa para no notificar. Lo correcto es notificar dentro de plazo con la información disponible, indicar que la investigación sigue abierta y completar después lo necesario.

Este es uno de los puntos donde más insisto a clientes y equipos internos: el plazo de 72 horas no está pensado para que presentes una tesis doctoral, sino para que actúes con diligencia. Si la organización ha reaccionado, ha iniciado la investigación y ha comunicado lo esencial, está mucho mejor posicionada que otra que guarda silencio esperando una certeza total que quizá llegue demasiado tarde.

Cuándo debes comunicar la brecha a los afectados

Cuando la brecha entrañe un alto riesgo para los derechos y libertades de las personas, además de notificar a la AEPD habrá que informar directamente a los afectados. Aquí el criterio no es reputacional ni comercial, sino jurídico y preventivo: la comunicación debe permitir que la persona adopte medidas para protegerse.

Supuestos en los que la comunicación es obligatoria

La obligación cobra más fuerza cuando pueden derivarse fraudes, suplantaciones, accesos indebidos, pérdidas económicas, discriminación, exposición pública de datos sensibles o cualquier perjuicio serio para la persona afectada. Cuanto más sensibles sean los datos y más probable sea el daño, más clara será la necesidad de comunicar.

Esto resulta especialmente delicado en sectores regulados o con datos de especial sensibilidad. Si tu empresa opera en seguros, salud, educación o entornos intensivos en datos, te interesa revisar también contenidos sectoriales como protección de datos para aseguradoras, protección de datos para clínicas o protección de datos para centros educativos, porque el análisis del riesgo cambia mucho según el tipo de información tratada.

Cómo redactar una comunicación clara y útil

La comunicación al afectado debe ser clara, directa y comprensible. No conviene esconder el problema bajo lenguaje técnico ni mandar un aviso ambiguo que no permita reaccionar. Lo mínimo recomendable es explicar qué ha pasado, qué datos pueden haberse visto afectados, qué riesgos existen y qué pasos concretos puede dar la persona para protegerse.

Si, por ejemplo, existe riesgo de phishing, fraude o uso indebido de credenciales, hay que decirlo sin rodeos y recomendar acciones inmediatas: cambio de contraseña, vigilancia de movimientos, contacto con la entidad, cautela ante correos sospechosos o bloqueo de determinados accesos.

Cómo demostrar diligencia y reducir el riesgo de sanción

La mejor defensa ante una brecha no es decir que fue inevitable. La mejor defensa es demostrar que la organización tenía medidas razonables, que reaccionó con rapidez, que analizó el riesgo con criterio, que notificó cuando procedía y que implantó correcciones para evitar la repetición.

Registro de brechas, trazabilidad y prueba documental

Aquí es donde muchas empresas se juegan el partido de verdad. Un expediente interno bien llevado debería permitir acreditar:

• cuándo se tuvo constancia de la brecha;
• quién tomó cada decisión;
• qué análisis de riesgo se realizó;
• qué medidas de contención se adoptaron;
• si se notificó a la AEPD y en qué momento;
• si se comunicó a los afectados y con qué contenido;
• qué acciones correctivas se implantaron después.

Cuando he participado en entornos donde el DPO estaba integrado en comités de riesgos y auditoría interna, una de las lecciones más claras ha sido esta: documentar bien no es burocracia, es defensa. Sin trazabilidad, incluso una actuación razonable puede parecer deficiente meses después.

Si tu empresa necesita reforzar esta parte desde una visión más amplia de cumplimiento y tecnología, puede ser útil enlazarla también con derecho digital para empresas en Madrid y con el blog de derecho digital para empresas, porque una brecha rara vez afecta solo a protección de datos: suele tocar contratos, ciberseguridad, proveedores, evidencias y gobierno interno.

Errores que suelen empeorar una investigación de la AEPD

Estos son algunos errores clásicos que disparan el riesgo de sanción o complican mucho la defensa:

• no detectar a tiempo que había datos personales implicados;
• esperar demasiado antes de escalar el incidente;
• no dejar constancia escrita del análisis de riesgo;
• confundir investigación interna con excusa para no notificar;
• enviar comunicaciones vagas o contradictorias;
• no revisar si el encargado del tratamiento tenía obligaciones de aviso;
• no adoptar medidas correctivas después del incidente.

En otras palabras: la AEPD suele mirar tanto el antes como el después. Antes, para comprobar si había medidas apropiadas. Después, para ver si la respuesta fue seria. Por eso, si el objetivo es gestionar una brecha de seguridad y notificarla a la AEPD sin sanciones, el foco no debe estar solo en el formulario, sino en toda la cadena de diligencia.

Medidas después de la brecha para que no vuelva a ocurrir

La gestión no termina con la notificación. De hecho, muchas organizaciones fallan justo aquí: cierran la urgencia, pero no corrigen la causa. Y si el mismo fallo vuelve a repetirse, la posición defensiva empeora muchísimo.

Acciones correctivas técnicas y organizativas

Después de una brecha, conviene revisar al menos:

• controles de acceso y privilegios;
• cifrado, pseudonimización y copias de seguridad;
• segmentación de sistemas y registros de actividad;
• proveedores y encargados del tratamiento;
• políticas internas y procedimientos de escalado;
• modelos de comunicación de incidentes.

Muchas veces el fallo no está solo en la tecnología, sino en la fricción entre departamentos. Un sistema puede ser correcto y, aun así, la empresa fallar porque nadie sabía a quién avisar, quién decide el riesgo o quién valida la comunicación a los afectados.

Formación, revisión de procesos y seguimiento

La formación del personal sigue siendo una de las medidas más rentables. Envíos erróneos, accesos indebidos, errores al compartir documentos, malas prácticas con contraseñas o uso indebido del correo son causas muy frecuentes de brecha. Cuando el equipo sabe detectar señales tempranas y entiende que debe escalar sin miedo ni demora, el margen de reacción mejora muchísimo.

Mi recomendación es sencilla: después de cada incidente, aunque haya sido menor, haz una revisión post mortem. Qué pasó, qué se hizo bien, qué falló, qué habría acelerado la respuesta y qué debe cambiar desde mañana. Esa cultura interna es la que, con el tiempo, marca la diferencia entre una empresa que reacciona y otra que solo apaga fuegos.

Checklist final: Cómo gestionar una brecha de seguridad

1. Detecta el incidente y confirma si afecta a datos personales.
2. Contén la brecha sin destruir evidencias.
3. Activa el protocolo interno y escala a legal, IT, dirección y DPO.
4. Abre un registro interno con cronología y responsables.
5. Valora el riesgo para los derechos y libertades de los afectados.
6. Si hay riesgo, notifica a la AEPD dentro de las 72 horas.
7. Si hay alto riesgo, comunica también a los afectados.
8. Conserva prueba documental de todo lo realizado.
9. Implanta medidas correctivas técnicas y organizativas.
10. Revisa el incidente y actualiza el procedimiento de brechas.

Preguntas frecuentes sobre brechas de seguridad y AEPD (Cómo gestionar una brecha de seguridad)

¿Toda brecha de seguridad hay que notificarla a la AEPD?

No. Solo cuando exista riesgo para los derechos y libertades de las personas. Si no existe ese riesgo, igualmente hay que documentar la brecha y el análisis realizado.

¿Notificar una brecha implica automáticamente una sanción?

No. Notificar no significa sanción automática. De hecho, hacerlo bien y dentro de plazo forma parte de la diligencia que la organización debe poder demostrar.

¿Qué pasa si no tengo toda la información dentro de las 72 horas?

Debes notificar con la información disponible y completar después lo necesario. Esperar a tener todo cerrado puede empeorar mucho la situación.

¿Cuándo tengo que avisar también a los afectados?

Cuando la brecha entrañe un alto riesgo para sus derechos y libertades. La comunicación debe ser clara y útil para que puedan protegerse.

¿Qué ayuda más a evitar sanciones?

Tener medidas previas razonables, reaccionar rápido, documentar cada paso, analizar correctamente el riesgo y adoptar acciones correctivas reales después del incidente.

Si necesitas ayuda para revisar tu protocolo, evaluar si una brecha debe notificarse o reforzar la función de DPO externo, puedes ampliar información en sobre nosotros o contactar desde esta página de contacto.