Brecha de datos: qué hacer en las primeras 72 horas
2 de noviembre de 2026 · 3 min de lectura
Un lunes por la mañana te das cuenta de que el correo con la lista de clientes salió a veinte destinatarios sin copia oculta. O de que el portátil de la tienda ha desaparecido con las fichas dentro. Eso es una brecha de datos, y desde ese momento corre un reloj de 72 horas. No se para el fin de semana.
Cuándo empiezan a contar las 72 horas
El artículo 33 del RGPD dice que, si puedes, notifiques a la autoridad de control en 72 horas desde que tienes constancia de la brecha. La AEPD precisa en su guía que el plazo empieza cuando sabes que el incidente ha afectado a datos personales, y que los fines de semana y festivos cuentan.
Hora 0: contén y evalúa a la vez
La guía de la AEPD insiste en que hay dos tareas en paralelo. Contener el incidente (cambiar contraseñas, desconectar el equipo, pedir al destinatario equivocado que borre el mensaje) y evaluar qué riesgo supone para las personas afectadas.
Qué tienes que anotar desde el principio
- Qué ha pasado y cuándo lo supiste.
- Qué datos y cuántas personas aproximadamente.
- Qué consecuencias puede tener para ellas.
- Qué has hecho ya para frenarlo.
Es casi el contenido que pide el RGPD para la notificación, así que lo que anotes ahora te lo ahorras después.
Cuándo notificar a la AEPD
Hay que notificar salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas. La AEPD ofrece la herramienta ASESORA BRECHA para valorarlo y un formulario en su sede electrónica para notificar. Si no puedes tener toda la información a tiempo, el RGPD permite dar la notificación por fases, sin más dilación. Y si te pasas del plazo, tienes que explicar los motivos del retraso.
Cuándo avisar a los afectados
Cuando la brecha pueda suponer un alto riesgo para ellos. Hay que hacerlo sin dilación indebida y con lenguaje claro y sencillo: qué ha pasado, qué datos, qué consecuencias, qué has hecho y qué pueden hacer ellos para protegerse. La AEPD prefiere el aviso directo (correo, teléfono, carta). Un aviso público solo vale cuando el esfuerzo de avisar uno a uno sería desproporcionado.
Hay excepciones. Si los datos estaban protegidos con medidas que evitan el riesgo, como un dispositivo perdido con buen cifrado, o si has tomado medidas posteriores que hacen imposible que el riesgo se materialice, como anular unas credenciales comprometidas, puede no hacer falta.
Si el fallo es de un proveedor
Cuando la brecha ocurre en un servicio que trata datos por tu cuenta, ese proveedor tiene que avisarte sin dilación indebida. La AEPD recomienda que el contrato fije ese plazo y que no supere las 72 horas. Aun así, el responsable eres tú.
Aunque no notifiques, documenta
Toda brecha se registra: hechos, efectos y medidas correctivas. También las que no se notifican por no suponer riesgo, y con la razón por la que decidiste no notificar. Es lo primero que pedirá la AEPD si pregunta.
Resumen práctico
- Anota la hora en que lo supiste. Las 72 horas incluyen fines de semana.
- Contén el incidente y evalúa el riesgo a la vez.
- Si hay riesgo, notifica a la AEPD en su sede electrónica. Si te falta información, hazlo por fases.
- Si el riesgo es alto, avisa a los afectados con un mensaje claro.
- Deja la brecha registrada, también si no la notificas.
En Guardián de Datos ayudamos a preparar el procedimiento de brechas antes de que ocurra una, para que ese lunes por la mañana sepas a quién llamar.
¿Quieres que revisemos cómo lo tienes tú?
Escríbenos y te decimos, sin compromiso, qué te falta y qué ya tienes cubierto.
Solicita presupuesto