Una brecha de seguridad es una de las pocas situaciones en protección de datos con un reloj en marcha. Para un DPO con cartera de clientes, las primeras 72 horas deciden si el expediente queda limpio o si la respuesta tardía se convierte en un agravante. Esta guía resume el plazo, el contenido mínimo de la notificación a la AEPD y un checklist accionable, con los artículos del RGPD verificados.
Respuesta directa: el plazo es de un máximo de 72 horas desde que el responsable tiene constancia de la brecha, no desde que ocurrió (art. 33.1 RGPD). Solo se notifica a la AEPD si la brecha puede entrañar un riesgo para los derechos y libertades de las personas. Se admite la notificación por fases si no se tiene toda la información (art. 33.4). El contenido mínimo (art. 33.3) es: naturaleza de la brecha, categorías y número aproximado de afectados y de registros, datos de contacto del DPO, consecuencias probables y medidas adoptadas o propuestas. Si hay alto riesgo, además hay que comunicarlo a los afectados (art. 34).
¿Desde cuándo cuentan las 72 horas?
Cuentan desde que el responsable tiene constancia de la brecha, no desde que se produjo. El artículo 33.1 del RGPD obliga a notificar la violación a la autoridad de control “sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella”. El matiz “de ser posible” y la mención a los motivos de la dilación reconocen que el reloj empieza con el conocimiento, no con el incidente.
Esto tiene una consecuencia práctica para tu cartera: el momento en que un cliente “tiene constancia” debe quedar trazado. Si un técnico detecta el incidente un viernes y no escala hasta el lunes, el cómputo puede empezar antes de lo que el cliente cree. Por eso el primer paso del checklist es registrar la hora exacta de la toma de conocimiento.
No toda brecha se notifica. El art. 33.1 exime de notificación cuando sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas físicas. Pero incluso en ese caso, el art. 33.5 obliga a documentarla internamente.
Checklist de las primeras 72 horas
Lo primero que hace un DPO es contener, evaluar el riesgo y decidir si toca notificar, todo a la vez. Este es el orden de trabajo:
- Registrar la hora de constancia. Anota fecha y hora exactas en que el responsable tuvo conocimiento. Es el punto cero del plazo.
- Contener. Coordina con IT el corte del vector (revocar credenciales, aislar sistemas, cerrar el acceso indebido). Documenta cada acción y su hora.
- Evaluar el riesgo. Determina naturaleza de los datos, volumen, categorías de afectados y si hay categorías especiales (salud, datos financieros). De aquí sale la decisión de notificar o no, y si hay alto riesgo para los afectados.
- Decidir la notificación a la AEPD. Si hay riesgo, prepara la notificación con el contenido mínimo del art. 33.3. Si aún faltan datos, usa la notificación por fases (art. 33.4).
- Decidir la comunicación a los afectados. Si hay alto riesgo, prepara el aviso a los interesados (art. 34), salvo que aplique una excepción.
- Documentar todo en el registro de violaciones (art. 33.5): hechos, efectos y medidas correctoras. Esta es la traza que la autoridad puede pedir para verificar el cumplimiento.
El error más caro no suele ser la brecha en sí, sino una respuesta lenta o sin traza. La AEPD valora la diligencia en la reacción.
¿Qué se notifica a la AEPD?
Se notifica el contenido mínimo que fija el artículo 33.3 del RGPD, que coincide con los campos del formulario de la sede electrónica de la AEPD. Como mínimo, la notificación debe:
- a) Describir la naturaleza de la violación, incluyendo cuando sea posible las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
- b) Comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto.
- c) Describir las consecuencias probables de la violación.
- d) Describir las medidas adoptadas o propuestas para poner remedio a la violación, incluyendo, si procede, las medidas para mitigar los posibles efectos negativos.
La notificación se presenta de forma telemática a través de la sede electrónica de la AEPD. Para preparar cada campo es útil apoyarse en la guía oficial de la AEPD sobre gestión y notificación de brechas: Brechas de seguridad de datos personales (AEPD). El texto consolidado de los artículos está disponible en la fuente oficial del RGPD: Reglamento (UE) 2016/679.
¿Cuándo hay que comunicar la brecha a los afectados?
Solo cuando la violación entrañe un alto riesgo para los derechos y libertades de las personas físicas. El artículo 34.1 del RGPD obliga al responsable a comunicar la brecha al interesado sin dilación indebida cuando sea probable que entrañe un alto riesgo. La comunicación debe hacerse “en un lenguaje claro y sencillo” y contener, como mínimo, la información de las letras b), c) y d) del art. 33.3 (contacto del DPO, consecuencias y medidas).
El art. 34.3 prevé excepciones a esta comunicación, entre ellas:
- a) Que el responsable haya aplicado medidas que hagan los datos ininteligibles para terceros no autorizados, como el cifrado.
- b) Que se hayan tomado medidas posteriores que garanticen que ya no existe el alto riesgo.
- c) Que suponga un esfuerzo desproporcionado, en cuyo caso se opta por una comunicación pública o medida similar igualmente efectiva.
El cifrado de los datos afectados, por tanto, no solo reduce el riesgo: puede ser la diferencia entre tener o no que comunicar a miles de afectados.
Por sector: qué clientes son de mayor riesgo de brecha
Los clientes de mayor riesgo son los que mantienen áreas privadas, portales de cliente o formularios de consulta expuestos a internet: banca, seguros y fintech a la cabeza. Dos resoluciones recientes de la AEPD lo ilustran y marcan el criterio que conviene revisar con tu cartera:
- Banca y fintech con portal de cliente. La AEPD sancionó a CaixaBank por una brecha vinculada a fallos de control de acceso a documentos, con base en los artículos 5.1.f) (integridad y confidencialidad), 25 (protección de datos desde el diseño) y 32 (seguridad del tratamiento) del RGPD. El criterio: que un usuario pueda ver documentos de otro no es un parche menor, es un fallo de seguridad sancionable. Fuente oficial: resolución en aepd.es. (Verifica importe y desglose por artículo en el PDF antes de citar cifras.)
- Seguros con mediadores o corredores. La AEPD sancionó a Generali por una brecha cuyo vector fue un ataque de fuerza bruta contra un formulario de consulta usando credenciales de un mediador. El mensaje para tu cartera: el acceso legítimo de un colaborador no exime del art. 32; hay que revisar límites de intentos, rate-limiting y trazabilidad de accesos de terceros. (El expediente exacto y el importe deben confirmarse contra la resolución de origen en aepd.es antes de citarlos.)
Si llevas clientes en banca, seguros o fintech con portal de cliente, estas resoluciones son el momento de revisar con ellos si los controles de acceso por cliente están testados y si existe un protocolo de reacción ante incidente.
El valor de la traza de auditoría
La traza es lo que enseñas si la AEPD pregunta por qué actuaste como actuaste. El art. 33.5 obliga a documentar toda violación, sus efectos y las medidas correctoras, “de forma que permita a la autoridad de control verificar el cumplimiento”. Para un DPO externo, esa traza tiene una capa más: por cada cliente, dejar constancia de cuándo se revisó un criterio nuevo (como las resoluciones de CaixaBank o Generali) y qué se comprobó. Esa es la diferencia entre reaccionar a una brecha y poder demostrar que se hizo todo bien y a tiempo.
Preguntas frecuentes
¿Desde cuándo cuentan las 72 horas para notificar una brecha a la AEPD?
Desde que el responsable tiene constancia de la violación de seguridad, no desde que ocurrió. El art. 33.1 del RGPD fija un máximo de 72 horas tras tener constancia, salvo que la brecha sea improbable que entrañe un riesgo para los derechos y libertades de las personas.
¿Hay que notificar siempre una brecha de seguridad?
No. Solo se notifica a la AEPD cuando la brecha puede entrañar un riesgo para los derechos y libertades de las personas físicas (art. 33.1 RGPD). Si es improbable que haya riesgo, no se notifica, pero sí se documenta internamente en el registro de violaciones (art. 33.5).
¿Qué pasa si no llego a las 72 horas con toda la información?
El RGPD admite la notificación por fases (art. 33.4): si no se puede facilitar toda la información a la vez, se aporta de forma gradual sin dilación indebida. Si la notificación se hace pasadas las 72 horas, debe acompañarse de los motivos de la dilación (art. 33.1).
¿Cuándo hay que comunicar la brecha a los propios afectados?
Cuando la violación entrañe un alto riesgo para los derechos y libertades de las personas (art. 34.1 RGPD). La comunicación debe ser en lenguaje claro y sencillo. Hay excepciones, por ejemplo si los datos estaban cifrados y son ininteligibles para terceros (art. 34.3.a).
¿Llevas la protección de datos de varios clientes y quieres que cada criterio nuevo de la AEPD llegue ya cruzado con los de tu cartera que afecta, con la fuente oficial lista para el expediente? Reserva tu plaza en el grupo fundador de Vigía DPO: vigiadpo.com/#reserva.