El registro de brechas de datos personales documenta qué ocurrió, qué consecuencias tuvo y cómo actuó la organización. El artículo 33.5 RGPD exige al responsable documentar todas las violaciones de seguridad de los datos personales, incluidas las que no se notifican a una autoridad. No impone registrar como brecha cualquier fallo informático: primero debe determinarse si el incidente afecta a la confidencialidad, integridad o disponibilidad de datos personales.
El modelo siguiente permite conservar los hechos y la evaluación que justifican las decisiones. Incluye una estructura adaptable y dos ejemplos ficticios que muestran cómo gestionar incertidumbre sin inventar conclusiones. El registro no sustituye la contención, la notificación ni la comunicación a personas afectadas. Su utilidad consiste en mantener relacionadas esas actuaciones, sus fechas y las evidencias que permiten comprobarlas, incluso después de que cambien las personas encargadas de gestionar el incidente.
Distinga incidente técnico y brecha de datos personales
Una alerta de seguridad puede resultar falsa, afectar únicamente a información no personal o revelar una verdadera brecha. Documentar su análisis en el sistema de incidentes puede ser una buena medida organizativa. Sin embargo, la obligación específica del artículo 33.5 se refiere a las violaciones de seguridad de datos personales. Evite inflar el registro con sucesos ajenos a ese ámbito o, en sentido contrario, excluir un caso porque no ha habido un ataque externo.
Una modificación indebida de un expediente puede afectar a la integridad; la pérdida temporal de acceso a datos necesarios puede afectar a la disponibilidad; un envío a un destinatario equivocado puede comprometer la confidencialidad. Las categorías pueden coincidir en un mismo caso. La guía sobre brechas de seguridad RGPD ayuda a identificar la naturaleza del suceso antes de valorar si necesita notificación o comunicación.
El papel de la organización también importa. Si actúa como encargado, debe informar al responsable sin dilación indebida tras tener conocimiento de una brecha, conforme al artículo 33.2, y prestar la asistencia correspondiente. No dispone por ese motivo de una autorización general para esperar 72 horas. Cuando actúe como responsable de otro tratamiento afectado, deberá evaluar sus propias obligaciones. Un incidente puede requerir separar ambos papeles sin perder una cronología común.
Separe las tres decisiones jurídicas
La documentación de cada brecha es obligatoria aunque el riesgo sea improbable. La notificación a la autoridad competente debe realizarse sin dilación indebida y, de ser posible, como máximo 72 horas después de tener constancia, salvo que sea improbable que la brecha constituya un riesgo para los derechos y libertades. Si se notifica después, deben explicarse los motivos del retraso. Las 72 horas no son una recomendación ni un margen que deba agotarse para empezar a actuar.
La comunicación a las personas afectadas responde al artículo 34: procede sin dilación indebida cuando sea probable que la brecha entrañe un alto riesgo, con las excepciones del apartado 3. No comparte automáticamente el plazo de 72 horas. Entre esas excepciones se encuentran medidas que hagan los datos ininteligibles para personas no autorizadas, medidas posteriores que garanticen que el alto riesgo ya no sea probable o un esfuerzo desproporcionado que exija comunicación pública o equivalente. Cada una necesita justificación concreta.
Las decisiones pueden cambiar con nueva información. Un caso inicialmente valorado como de riesgo improbable puede revelar después datos más sensibles o una difusión mayor. Conserve la valoración inicial, los hechos que la sustentaban y el motivo de la revisión. No sobrescriba la historia para que parezca que la organización sabía desde el principio lo que solo descubrió después. El registro debe explicar la evolución, incluida cualquier actuación adicional necesaria.
Registre los momentos relevantes con su significado
Diferencie cuándo pudo ocurrir el incidente, cuándo se detectó una señal y cuándo se tuvo constancia de la brecha. Las directrices definitivas 9/2022 del CEPD explican la constancia en términos de un grado razonable de certeza sobre la existencia de un incidente que haya comprometido datos personales. No exige disponer de todos los detalles forenses ni permite retrasar artificialmente el conocimiento hasta una aprobación directiva.
Anote quién recibió la información y qué permitía concluir en ese momento. Si la hora exacta todavía no se conoce, identifique la estimación y su fuente. Conserve zona horaria cuando intervengan equipos en distintos países. Una fecha sin contexto puede impedir comprobar el plazo, especialmente si el descubrimiento llega durante un fin de semana. La organización necesita una vía de escalado que funcione también fuera de la presencia habitual de una persona concreta.
El procedimiento de respuesta ante brechas organiza esas tareas; el registro conserva el resultado y sus pruebas. No convierta cada campo de la plantilla en un requisito previo para avisar. Cuando no sea posible aportar toda la información a la vez, el artículo 33.4 permite facilitarla gradualmente sin dilación indebida. Deje identificadas las cuestiones pendientes y su seguimiento, en lugar de esperar a cerrar el expediente completo.
Plantilla de registro adaptable
La estructura incluye los hechos, efectos y medidas del artículo 33.5 y añade campos prácticos para decisiones y seguimiento. No todos son exigencias literales independientes de ese apartado. Puede implementarse como ficha o expediente enlazado, siempre que resulte accesible, coherente y suficientemente protegido. Una fila resumida puede remitir a anexos controlados; no necesita reproducir en la tabla todos los datos personales afectados.
REGISTRO INTERNO DE BRECHA DE DATOS PERSONALES
Identificador y estado: [referencia; en análisis/seguimiento/cerrada]
Organización, papel y tratamiento afectado: [responsable/encargado]
Persona que coordina y sustitución: [función/contacto interno]
Cronología
- Momento del incidente: [confirmado/estimado/desconocido; fuente].
- Detección: [fecha, hora, canal y persona que informa].
- Constancia de la brecha: [fecha, hora y hechos que la fundamentan].
- Actualizaciones: [nueva información y fecha de cada revisión].
Hechos y alcance
- Descripción; confidencialidad/integridad/disponibilidad.
- Sistemas, ubicaciones y actividades; proveedores implicados.
- Categorías y número aproximado de personas afectadas.
- Categorías y número aproximado de registros afectados.
- Datos, sensibilidad, identificabilidad y grupos vulnerables.
- Destinatarios/accesos no autorizados y difusión conocida.
- Incertidumbres, fuentes y evidencias conservadas.
Efectos y riesgo para las personas
- Consecuencias observadas y consecuencias plausibles.
- Probabilidad y gravedad; factores que aumentan o reducen riesgo.
- Medidas previas efectivas y evidencia de su funcionamiento.
- Conclusión motivada y persona que la valida.
Decisiones distintas
- Autoridad competente y motivo de competencia.
- Artículo 33: notificar/no notificar, fundamento y fecha.
- Si se supera el plazo: motivos del retraso.
- Notificación inicial, ampliaciones y justificantes.
- Artículo 34: comunicación a afectados/no comunicación,
fundamento, excepción si procede, canal, contenido y fecha.
- Encargado: aviso al responsable y asistencia, cuando corresponda.
Medidas y seguimiento
- Contención, recuperación y corrección: actuación, responsable,
fecha prevista, fecha ejecutada y evidencia.
- Riesgos/acciones pendientes y desencadenantes de reevaluación.
- Cierre: condiciones comprobadas, validación y fecha.
- Accesos al expediente, conservación y revisión/eliminación.
Describa el alcance sin confundir datos y personas
Un archivo puede contener numerosos registros de una sola persona o datos de muchas personas. Registre ambas magnitudes cuando sean pertinentes y señale si son aproximadas. No reduzca la valoración a un número total: un pequeño volumen de información especialmente sensible puede tener consecuencias graves. A la vez, una cifra alta no permite determinar por sí sola qué perjuicios son probables sin examinar contexto, exposición y posibilidades de uso indebido.
Vincule el caso con el registro de actividades de tratamiento, pero no fuerce los hechos para que coincidan con una ficha antigua. La brecha puede revelar un flujo que todavía no estaba documentado. En ese caso, registre la realidad y abra una acción para corregir el inventario. El objetivo de la relación es localizar responsabilidades y medidas, no ocultar discrepancias para mantener una apariencia de coherencia.
Conserve las pruebas de manera proporcional. Un mensaje, un registro de acceso o una configuración pueden apoyar la investigación, pero copiar una base completa al expediente puede ser innecesario. Utilice referencias controladas y restricciones de acceso. La minimización de datos y la seguridad también se aplican a las evidencias. No adjunte al aviso interno información personal detallada cuando sea suficiente una descripción y un enlace protegido.
Evalúe el riesgo desde la perspectiva de las personas
El riesgo no se limita al coste de reparar sistemas o a la reputación de la empresa. Examine posibles fraudes, discriminación, pérdida de confidencialidad, exposición de relaciones personales, errores en decisiones o interrupciones de servicios relevantes. Distinga consecuencias comprobadas de consecuencias posibles. La ausencia de una reclamación inmediata no demuestra que no exista riesgo; algunos perjuicios se manifiestan después o son difíciles de detectar por la persona afectada.
Valore quién obtuvo los datos, qué puede entender y utilizar y si existe evidencia fiable sobre su devolución o destrucción. Un destinatario conocido y cooperativo puede ser un factor relevante, pero una promesa genérica no equivale siempre a recuperar el control. Documente los límites de lo que puede comprobar. Si no sabe si el archivo fue descargado, no escriba «sin acceso» simplemente porque no aparece un evento en una herramienta que no registra esa acción.
El cifrado puede reducir ciertos riesgos cuando ha sido aplicado de forma efectiva y las claves no están comprometidas. No elimina automáticamente todos los efectos: una copia cifrada perdida puede plantear problemas de disponibilidad si no existe recuperación adecuada. La diferencia entre anonimización y seudonimización también importa para valorar identificabilidad. Una medida debe evaluarse por su funcionamiento real en el incidente, no por su mera presencia en una política.
Ejemplo ficticio: correo con destinatarios visibles
Un envío con direcciones visibles no puede calificarse automáticamente como inocuo por contener «solo correos». La lista puede revelar pertenencia a un colectivo, asistencia a un servicio o una relación sensible. También importa si permite identificar personas, cuántos destinatarios la recibieron y qué posibilidad existe de usos posteriores. El ejemplo siguiente deja abiertas las decisiones que no pueden tomarse sin conocer esos hechos.
CASO FICTICIO A — Envío con copia visible
Hecho confirmado: boletín remitido con 300 direcciones visibles.
Tratamiento: comunicaciones de [entidad ficticia].
Tipo inicial: confidencialidad.
Pendiente de comprobar: si la pertenencia a la lista revela salud,
creencias u otra circunstancia sensible; identificabilidad;
reenvíos conocidos; naturaleza y número de destinatarios.
Medidas inmediatas: detener nuevos envíos, preservar evidencia
mínima, analizar configuración y valorar medidas de contención.
Evaluación: no se presume riesgo improbable solo por el tipo
aparente de dato. Resolver artículos 33 y 34 por separado con
hechos disponibles y sin esperar a cerrar todas las comprobaciones.
Prevención propuesta: revisar herramienta de envío, permisos y
validaciones; comprobar funcionamiento antes de reanudar.
La petición de borrar un correo enviado puede ser una medida de contención, pero no asegura que todas las copias desaparezcan. Registre qué se pidió, a quién y qué respuesta se obtuvo. Si nuevas comprobaciones muestran una difusión relevante, actualice la valoración y las actuaciones. Una anotación que solo diga «se recordó usar CCO» no explica el riesgo del caso ni prueba que la causa del error haya sido resuelta.
Ejemplo ficticio: pérdida de un portátil
En la pérdida de un dispositivo, examine qué datos estaban almacenados, qué accesos seguían activos y qué controles eran efectivos. «Tenía contraseña» no demuestra necesariamente cifrado del disco ni inutilidad de la información para quien lo posea. La capacidad de bloqueo remoto depende de la configuración y de que la orden llegue a ejecutarse. No registre como hecho cumplido una acción simplemente solicitada a una consola.
CASO FICTICIO B — Portátil extraviado
Hecho: equipo utilizado para una actividad comercial no localizado.
Datos: inventario pendiente de contrastar con sincronización local.
Controles: verificar cifrado efectivo, custodia de claves, sesiones
activas, cuentas y copias de recuperación.
Medidas: revocar accesos aplicables, solicitar bloqueo/borrado si es
viable y conservar confirmación de ejecución; investigar alcance.
Riesgos: acceso indebido, posible fraude y disponibilidad de datos.
Decisiones: no presumir riesgo alto ni improbable por la sola pérdida;
valorar hechos y consecuencias. Notificar y comunicar cuando
corresponda, respetando sus requisitos y tiempos distintos.
Acciones posteriores: corregir inventario/configuración y revisar
el proceso de custodia, con responsables y evidencia de resultado.
Un portátil sin cifrado que contiene información identificable puede exigir actuaciones urgentes, pero el registro debe explicar la conclusión y no copiar una etiqueta fija de otro caso. Del mismo modo, un equipo cifrado no cierra automáticamente toda investigación. Si una sesión permite acceder a servicios externos o las claves acompañan al dispositivo, las medidas reales pueden ofrecer una protección distinta de la supuesta inicialmente.
Utilice el canal oficial cuando corresponda notificar
La página vigente de la AEPD sobre notificación de brechas remite al formulario específico de su sede electrónica. Antes de presentar, identifique la autoridad competente, considerando establecimiento, tratamientos transfronterizos y, en el sector público, las competencias autonómicas pertinentes. No asuma que cualquier incidente con una persona española se comunica necesariamente por la misma vía sin analizar el contexto.
El formulario del responsable para notificar una brecha es distinto del cauce de reclamación de una persona afectada. Conserve el justificante y las sucesivas aportaciones en el expediente. Los asistentes de la AEPD para valorar notificación o comunicación pueden ayudar a razonar, pero no presentan por sí solos una notificación ni sustituyen los hechos del caso. La guía práctica de notificación a la AEPD desarrolla esa fase concreta.
Cuando sea necesaria la comunicación a personas afectadas, conserve también la versión del mensaje y el modo de distribución. El artículo 34.2 exige explicar en lenguaje claro la naturaleza de la brecha e incluir el contacto del delegado u otro punto de información, las posibles consecuencias y las medidas adoptadas o propuestas, incluidas las destinadas a mitigar efectos. El mensaje debe ayudar a comprender qué ha ocurrido y cómo actuar, sin minimizar hechos ni revelar datos de otras personas. Documente entregas fallidas y las alternativas razonables empleadas. Una nota de prensa genérica no equivale por sí sola a una comunicación individual ni satisface automáticamente la alternativa pública del artículo 34.3.
Cierre y conserve el expediente con un criterio definido
Cerrar no significa que toda consecuencia haya desaparecido. Defina qué medidas están ejecutadas, cuáles requieren seguimiento y quién revisará nueva información. Separe acciones propuestas de acciones verificadas. Si una formación era la medida elegida, conserve evidencia de su realización y revise si aborda la causa identificada. Si el fallo era técnico, una instrucción verbal puede ser insuficiente para evitar que el mismo flujo vuelva a exponer datos.
El RGPD no fija un plazo universal único para conservar este registro. Determine una duración justificada por sus finalidades y obligaciones, incluida la capacidad de acreditar decisiones, y limite los datos personales adjuntos. Puede conservarse información agregada para mejorar procesos cuando ya no sea necesaria la identificación. No traduzca automáticamente un plazo de prescripción en conservación ilimitada de todas las evidencias, ni destruya documentación necesaria para responsabilidades pendientes sin valoración.
La auditoría de protección de datos puede revisar una muestra de expedientes y comprobar coherencia entre hechos, decisiones y medidas. La función supervisora de la AEPD no implica que cualquier registro vacío sea prueba de infracción o que documentar produzca una atenuante automática. El régimen de sanciones RGPD depende de las obligaciones y circunstancias aplicables, no del número de filas de una hoja.
Preguntas frecuentes
¿Tengo que registrar una brecha que no notifico?
Sí. Si existe una violación de seguridad de datos personales, debe documentarse aunque sea improbable que genere riesgo. Incluya los hechos, efectos, medidas y la motivación de esa valoración. Un incidente técnico que no afecte a datos personales puede seguir otro registro operativo, sin presentarlo indebidamente como una brecha del artículo 33.
¿Notifico a las personas dentro de las mismas 72 horas?
El artículo 34 exige comunicación sin dilación indebida cuando sea probable un alto riesgo, con sus excepciones. No establece como regla propia las 72 horas de la notificación a la autoridad. Evalúe y registre ambas decisiones por separado. La investigación o una consulta interna no deben introducir retrasos injustificados en una comunicación necesaria.
¿Un registro vacío demuestra falta de detección?
No por sí solo. Puede ser razonable comprobar los canales de aviso y la clasificación de incidentes, pero no debe inventar brechas para llenar el documento. La evaluación debe basarse en hechos: alertas, incidentes investigados y funcionamiento del procedimiento. Un número bajo o alto de entradas no demuestra automáticamente cumplimiento o incumplimiento.