Brecha de seguridad: qué hacer en las primeras 72 horas (artículos 33 y 34 del RGPD)

Un portátil perdido con expedientes, un correo enviado al destinatario equivocado, un ataque de ransomware o una cuenta de proveedor comprometida: todas son brechas de seguridad de datos personales si afectan a la confidencialidad, la integridad o la disponibilidad de esos datos (art. 4.12 del RGPD). Lo que marca la diferencia entre un incidente gestionable y una sanción es cómo reaccionas en las primeras horas.

El plazo: 72 horas desde que tienes constancia

El artículo 33 obliga al responsable del tratamiento a notificar la brecha a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella. En España la autoridad es la Agencia Española de Protección de Datos (AEPD), que dispone de un formulario electrónico para ello. Si la notificación se hace más tarde, debe ir acompañada de los motivos de la dilación.

La única excepción es que sea improbable que la brecha entrañe un riesgo para los derechos y libertades de las personas. Esa conclusión hay que justificarla y dejarla por escrito.

Plan de actuación hora a hora

1. Contén el incidente. Aísla los equipos afectados, revoca credenciales comprometidas, corta accesos y conserva las evidencias (registros, copias de los sistemas) sin alterarlas.
2. Avisa internamente. Activa a quien corresponda: dirección, responsable de seguridad informática, delegado de protección de datos si lo hay y asesoría jurídica.
3. Reúne los hechos. Qué ocurrió, cuándo se detectó, qué sistemas y qué categorías de datos están implicados, y cuántas personas podrían verse afectadas (una estimación aproximada es suficiente al principio).
4. Evalúa el riesgo. Valora la gravedad de las consecuencias posibles para los afectados: suplantación de identidad, daño económico o reputacional, exposición de datos de categorías especiales…
5. Decide y documenta. Si hay riesgo, notifica a la autoridad. Si no lo hay, deja constancia razonada de por qué.
6. Notifica a los afectados cuando proceda (ver más abajo).
7. Corrige y aprende. Cierra la causa raíz, revisa las medidas del artículo 32 y actualiza tu registro de actividades y tus procedimientos.

Qué debe incluir la notificación a la autoridad (art. 33.3)

• La naturaleza de la brecha, con las categorías y el número aproximado de interesados y de registros afectados.
• El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto.
• Las posibles consecuencias de la brecha.
• Las medidas adoptadas o propuestas para remediarla y mitigar sus efectos.

Si no tienes todos los datos dentro del plazo, el artículo 33.4 permite facilitar la información por fases sin más dilación. Es preferible una notificación inicial incompleta a una completa fuera de plazo.

Cuándo hay que avisar también a los afectados (art. 34)

Cuando la brecha entrañe un alto riesgo para sus derechos y libertades, debes comunicárselo sin dilación indebida, con lenguaje claro y sencillo, explicando qué ha pasado, qué consecuencias puede tener y qué medidas pueden tomar para protegerse. No es obligatorio si:

• los datos estaban cifrados o protegidos de modo que resulten ininteligibles para quien accedió a ellos;
• has adoptado medidas posteriores que garantizan que el alto riesgo ya no es probable; o
• exigiría un esfuerzo desproporcionado, en cuyo caso se opta por una comunicación pública o medida equivalente.

Si eres encargado del tratamiento

El encargado debe notificar al responsable sin dilación indebida en cuanto tenga conocimiento de una brecha (art. 33.2). Revisa que tus contratos del artículo 28 fijen plazos y canales concretos: las 72 horas del responsable corren desde que él tiene constancia, y cada hora que tarde el proveedor en avisar se la come.

Documenta todas las brechas, también las leves

El artículo 33.5 exige documentar cualquier brecha: hechos, efectos y medidas correctoras, de modo que la autoridad pueda verificarlo. Mantener un registro de incidentes ordenado es una de las pruebas más sólidas de diligencia.

Prepárate antes de que ocurra

• Redacta un protocolo de respuesta con responsables, contactos y plantillas de notificación.
• Define cómo se detecta y escala un incidente: cualquier empleado debe saber a quién avisar y en cuánto tiempo.
• Haz simulacros sencillos al menos una vez al año.
• Mantén copias de seguridad aisladas, control de accesos y cifrado de equipos portátiles.
• Ten a mano los documentos legales y de contacto actualizados. Un gestor centralizado como LegalCloud ayuda a que tu política de privacidad y tus textos reflejen siempre el procedimiento vigente.

Consulta los artículos 33 y 34 en EUR-Lex, las directrices del Comité Europeo de Protección de Datos sobre notificación de brechas en edpb.europa.eu y la información práctica de la AEPD. Este contenido es informativo y no constituye asesoramiento jurídico.