Cursos · RGPD para pequeñas empresas (2026)

Lección 5 de 5

Brechas de seguridad: qué hacer en las 72 horas (RGPD 2026)

Tiempo de lectura: 10 minutos

Resumen rápido: Una brecha de seguridad es cualquier incidente que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales, sea un ciberataque o un simple error (art. 4.12 RGPD). Si la sufres, el art. 33 RGPD te obliga a notificarla a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tienes constancia de ella, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, además tienes que comunicarla a los afectados sin dilación indebida (art. 34). Y todas las brechas, se notifiquen o no, van a tu registro interno (art. 33.5). La AEPD tiene dos herramientas gratuitas para decidir: Asesora Brecha (¿notifico a la AEPD?) y Comunica-Brecha RGPD (¿lo comunico a los afectados?).

Qué es una brecha de seguridad

El art. 4.12 RGPD la define como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a esos datos.

Fíjate en dos cosas:

No hace falta un hacker: un error humano también es una brecha.
No todo incidente de seguridad es una brecha: solo lo es si afecta a datos personales.

Los tres tipos (según lo que se pierde)

Tipo	Qué ocurre	Ejemplos en una pyme
Confidencialidad	Alguien no autorizado accede a los datos o los recibe	Email a todos los clientes con las direcciones a la vista; nómina enviada al empleado equivocado; robo de credenciales
Integridad	Los datos se alteran sin autorización	Un tercero cambia el número de cuenta de un proveedor en tu programa de facturación
Disponibilidad	Los datos se pierden o no se puede acceder a ellos	Ransomware que cifra el servidor; portátil robado sin copia de seguridad; incendio del archivo en papel

Una misma brecha puede afectar a varios tipos a la vez: un ransomware que, además de cifrar, se lleva una copia de los datos afecta a la disponibilidad y a la confidencialidad.

El reloj de las 72 horas (art. 33 RGPD)

Qué dice la norma

El responsable debe notificar la brecha a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Si notifica más tarde, tiene que explicar los motivos del retraso.

Cuándo empieza a contar

Según la guía de la AEPD, desde que tienes constancia de que el incidente ha afectado a datos personales. Y se cuentan todas las horas, incluidos fines de semana y festivos: una brecha detectada el viernes por la tarde no espera al lunes.

No hace falta tener toda la información

Si en 72 horas aún no sabes todo, notifica con lo que tengas y completa después (art. 33.4). La AEPD distingue tres tipos de notificación:

Completa: cuando ya tienes toda la información.
Inicial: cuando te falta información; se completa después.
Modificación: para completar la inicial. Según la guía de la AEPD, con carácter general se hace una sola modificación, en un plazo de 30 días hábiles desde la notificación inicial.

¿Quién notifica?

El responsable del tratamiento: tu empresa, aunque la brecha la haya sufrido un proveedor.
El encargado (tu asesoría, tu hosting, tu programa en la nube) tiene que avisarte sin dilación indebida en cuanto la conozca (art. 33.2). Fija en el contrato de encargo un plazo concreto, bastante menor de 72 horas, para que te dé tiempo a notificar.

¿Hay que notificar a la AEPD? Cómo decidirlo

La regla: se notifica salvo que sea improbable que la brecha suponga un riesgo para las personas. Para valorarlo, piensa en:

Qué datos: no es lo mismo un listado de emails que datos de salud, bancarios, de menores o contraseñas.
Cuántas personas y si son vulnerables.
Qué tan fácil es identificarlas.
Qué consecuencias puede tener: fraude, suplantación de identidad, discriminación, daño reputacional, pérdida de un servicio.
Qué medidas había antes (cifrado, copias de seguridad) y cuáles has tomado después.

Asesora Brecha (AEPD)

Asesora Brecha es una herramienta gratuita de la AEPD que, con unas preguntas, te orienta sobre si tienes que notificar, quién debe hacerlo y ante qué autoridad. La AEPD no ve los datos que introduces (se borran al terminar) y puedes descargar un informe con tus respuestas para guardarlo en tu registro. Es una ayuda: la decisión sigue siendo tuya.

Cómo se notifica

En la sede electrónica de la AEPD (sedeaepd.gob.es), con el formulario de notificación de brechas de datos personales.
Con certificado electrónico o Cl@ve. Las empresas (personas jurídicas) están obligadas a relacionarse con la Administración por vía electrónica.
Contenido mínimo (art. 33.3): qué ha pasado (tipo de brecha, categorías y número aproximado de afectados y de registros), un contacto (el DPO u otra persona), las consecuencias probables y las medidas adoptadas o previstas.

Para una empresa privada, la autoridad competente es la AEPD; las autoridades autonómicas (Cataluña, País Vasco, Andalucía) se ocupan sobre todo del sector público de su comunidad. Asesora Brecha te lo confirma.

¿Hay que avisar a los afectados? (art. 34 RGPD)

Cuándo

Cuando la brecha probablemente entrañe un alto riesgo para las personas. Hay que hacerlo sin dilación indebida: cuanto antes lo sepan, antes pueden protegerse (cambiar contraseñas, vigilar sus cuentas, avisar a su banco).

Cómo y qué decir

En lenguaje claro y sencillo, preferiblemente de forma directa (email, carta, SMS), con al menos:

Qué ha pasado.
Un contacto para más información.
Las consecuencias probables.
Las medidas que has tomado y las que les recomiendas tomar.

Cuándo no hace falta (art. 34.3)

Si los datos estaban protegidos con medidas que los hacen ininteligibles (por ejemplo, cifrado robusto cuya clave no se ha visto comprometida).
Si has tomado medidas que hacen que ya no sea probable que el alto riesgo se materialice.
Si supondría un esfuerzo desproporcionado: entonces, un aviso público o medida equivalente.

La AEPD puede exigirte que lo comuniques si no lo has hecho (art. 34.4).

Comunica-Brecha RGPD (AEPD)

Herramienta gratuita que te ayuda a decidir si debes comunicarla a los afectados. Da uno de tres resultados: hay que comunicarla, no es necesario o no se puede determinar el riesgo. El informe descargable incluye una plantilla de comunicación a los afectados con la información mínima del art. 34.

El registro interno de brechas (art. 33.5 RGPD)

Todas las brechas se documentan, también las que decides no notificar. La AEPD puede pedirte ese registro para comprobar que cumpliste. No hay un modelo oficial; anota al menos:

Fecha y hora del incidente y del momento en que tuviste constancia.
Qué ha pasado y cómo se detectó.
Tipo de brecha (confidencialidad, integridad, disponibilidad).
Datos y personas afectadas (categorías y número aproximado).
Valoración del riesgo y su motivo.
Decisión de notificar o no a la AEPD (y fecha y número de registro si se notificó).
Decisión de comunicar o no a los afectados (y cómo y cuándo).
Medidas adoptadas para contenerla y para que no se repita.
Responsable de cada actuación.

Guarda también los informes de Asesora Brecha y Comunica-Brecha.

Protocolo de actuación paso a paso

Hora 0: detección y contención

Avisa a la persona responsable (dirección o quien hayáis designado; el DPO, si lo tienes).
Contén el daño: desconecta de la red el equipo afectado, cambia contraseñas, bloquea accesos, pide al destinatario de un email erróneo que lo borre.
Conserva las pruebas: no borres registros ni reinstales a ciegas.
Abre la ficha en el registro de brechas y anota la hora.

Primeras 24 horas: análisis

Averigua qué datos, de cuántas personas y qué consecuencias puede tener.
Valora el riesgo, apoyándote en Asesora Brecha.
Si la brecha es de un proveedor, pídele toda la información por escrito.

Antes de 72 horas: notificación

Si hay riesgo, notifica a la AEPD en su sede electrónica, aunque sea con una notificación inicial.
Si el riesgo es alto, prepara la comunicación a los afectados (con Comunica-Brecha RGPD) y envíala sin dilación.

Después

Completa la notificación si hiciste una inicial.
Corrige la causa (actualizaciones, doble factor de autenticación, cifrado, formación).
Cierra la ficha del registro con las lecciones aprendidas.

Ayuda: si es un ciberataque, el 017 de INCIBE es una línea gratuita y confidencial de ayuda en ciberseguridad. Si hay delito (robo, extorsión, acceso ilícito), denuncia ante la Policía o la Guardia Civil. Y si tienes un seguro de ciberriesgos, avisa a tu aseguradora según su póliza.

Ejemplos de pyme

1. El email con todos los clientes a la vista. Una tienda envía una promoción a 300 clientes poniendo las direcciones en "Para" o "CC" en lugar de "CCO". Es una brecha de confidencialidad. Si solo se revelan direcciones de email, el riesgo suele ser limitado; si el envío revela algo más (por ejemplo, que todos son pacientes de una clínica), el riesgo sube. Registra, valora con Asesora Brecha y, si hay riesgo, notifica.

2. El portátil robado. A un comercial le roban el portátil con la base de clientes.

Cifrado con una contraseña robusta que no se ha visto comprometida: es improbable que haya riesgo; normalmente no se notifica, pero se registra.
Sin cifrar y con datos bancarios o de salud: se notifica a la AEPD y probablemente hay que avisar a los afectados.

3. El ransomware. Un ataque cifra el servidor de una gestoría. Si hay copias de seguridad y no hay indicios de que se hayan llevado datos, el riesgo es menor; si no hay copias o los atacantes amenazan con publicar los datos, se notifica y, casi con seguridad, se comunica a los afectados.

4. La nómina equivocada. Se envía por error la nómina de un empleado a otro. Es una brecha de confidencialidad que afecta a una persona, con datos económicos. Pide al receptor que la borre y te lo confirme, registra la brecha y valora el riesgo con Asesora Brecha para decidir si notificas.

5. El proveedor que avisa tarde. Tu programa de reservas en la nube sufre un acceso indebido y te avisa a los cinco días. Tus 72 horas empiezan cuando tú tienes constancia, pero exige en el contrato que te avisen antes y deja constancia del retraso del proveedor.

Qué no hacer

❌ Esperar a tenerlo todo claro para notificar: notifica con lo que sepas y completa después.
❌ Ocultar la brecha o pedir a los empleados que "no digan nada".
❌ Borrar pruebas o reinstalar equipos sin guardar los registros.
❌ Pagar el rescate de un ransomware por tu cuenta: no garantiza que recuperes los datos ni que no se publiquen; pide ayuda antes (017).
❌ Avisar a los afectados con un mensaje vago que no les dice qué hacer.
❌ No registrar las brechas que decides no notificar.
❌ Olvidar a los proveedores: si la brecha es suya, la responsabilidad de notificar sigue siendo tuya.

Qué te juegas

Los incumplimientos en materia de brechas están en el tramo del art. 83.4 RGPD (hasta 10 millones de euros o el 2 % de la facturación anual mundial). La LOPDGDD los clasifica así:

Conducta	Calificación (LOPDGDD)	Prescripción
No tener medidas de seguridad adecuadas al riesgo	Grave (art. 73.f)	2 años
El encargado no avisa al responsable de una brecha	Grave (art. 73.q)	2 años
No notificar la brecha a la AEPD	Grave (art. 73.r)	2 años
No comunicarla a los afectados cuando la AEPD lo ha exigido	Grave (art. 73.s)	2 años
Notificación incompleta, tardía o defectuosa	Leve (art. 74.m)	1 año
No documentar la brecha	Leve (art. 74.n)	1 año
No comunicarla a los afectados cuando hay alto riesgo	Leve (art. 74.ñ)	1 año

Según la AEPD, en 2025 las sanciones relacionadas con brechas de seguridad sumaron casi 20 millones de euros, en torno al 40 % del total de multas.

Resumen

Brecha = pérdida de confidencialidad, integridad o disponibilidad de datos personales, también por error.
72 horas desde que tienes constancia, contando fines de semana y festivos, para notificar a la AEPD salvo que sea improbable el riesgo. Si te falta información, notificación inicial y la completas después.
Afectados: si el riesgo es alto, comunícaselo sin dilación, en lenguaje claro.
Registro interno de todas las brechas, se notifiquen o no.
Herramientas gratuitas de la AEPD: Asesora Brecha y Comunica-Brecha RGPD. Ten el protocolo preparado antes de necesitarlo.

¿Quieres que lo llevemos nosotros?

En AsesoraYa.es, la asesoría 100% online de Grupo TREBIA, el RGPD completo (auditoría y documentación) está incluido en los planes Plus:

Plan Autónomos Plus, desde 44,95 €/mes + IVA: impuestos trimestrales, declaración de la renta, RGPD completo y consulta jurídica mensual, con asesor personal.
Plan Sociedades Plus, desde 119,95 €/mes + IVA: contabilidad, Impuesto sobre Sociedades y cuentas anuales, más Renta, RGPD, canal de denuncias y consulta jurídica.

¿Quieres saber si tu empresa está preparada? Haz gratis el Test RGPD. Más información en asesoraya.es/servicios o en el 91 000 47 83.

Con esta lección termina el curso. Si lo has seguido entero, ya sabes cuándo te aplica el RGPD, qué documentos necesitas, cómo hacer el RAT, cómo redactar las cláusulas y qué hacer ante una brecha.

Última actualización: octubre de 2026. Normativa: Reglamento (UE) 2016/679 (RGPD, arts. 4.12, 33, 34 y 83.4), Ley Orgánica 3/2018 (LOPDGDD, arts. 73 y 74), Guía para la notificación de brechas de datos personales de la AEPD (junio de 2021) y herramientas Asesora Brecha y Comunica-Brecha RGPD (aepd.es). Datos de 2025: nota de prensa de la AEPD de 6 de mayo de 2026. Información divulgativa: no sustituye al asesoramiento personalizado.