En una frase. Si una violación de seguridad de datos personales puede entrañar riesgo para los derechos y libertades, el responsable debe notificarla a la autoridad de control competente sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que tuvo conocimiento (art. 33 RGPD). El riesgo alto exige además valorar la comunicación a las personas (art. 34).
El plazo se cuenta desde que el responsable tiene un grado razonable de certeza de que se ha producido una brecha de datos personales; no espera a cerrar el análisis forense. La obligación depende del riesgo y de qué autoridad sea competente. Esta guía se centra en el procedimiento ante la AEPD cuando le corresponde conocer del asunto.
Puntos clave
- La referencia de 72 horas, cuando sea posible, corre desde que el responsable tiene conocimiento de la brecha, no desde su detección técnica completa.
- Se notifica salvo que sea improbable que entrañe riesgo para los derechos y libertades; si es improbable, se documenta pero no se notifica.
- Si la AEPD es competente, se usa su formulario de la Sede Electrónica; ASESORA BRECHA orienta la valoración y no sustituye el trámite.
- Si el riesgo es alto, hay que comunicarlo también a los afectados sin dilación indebida (art. 34).
- Toda brecha —se notifique o no— debe quedar en el registro interno de brechas del art. 33.5.
Qué es una brecha notificable
El art. 4(12) RGPD define la violación de seguridad como toda destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. Hay tres tipos: de confidencialidad (acceso no autorizado), de integridad (alteración) y de disponibilidad (pérdida de acceso, por ejemplo un ransomware).
No toda brecha se notifica. El art. 33 exceptúa las violaciones respecto de las cuales sea improbable que exista riesgo para los derechos y libertades. La AEPD ofrece la herramienta orientativa ASESORA BRECHA para ayudar a valorar el caso; la decisión documentada sigue siendo del responsable. La herramienta no es el formulario de notificación.
El test de riesgo paso a paso
La evaluación del riesgo determina las tres decisiones posibles. Los factores a ponderar (según ENISA y la Guía de la AEPD):
| Factor | Ejemplos que agravan |
|---|---|
| Tipo de datos | Categorías especiales, datos financieros, credenciales |
| Volumen | Miles de afectados vs. un registro |
| Facilidad de identificación | Datos en claro vs. seudonimizados |
| Consecuencias | Fraude, suplantación, daño reputacional |
| Colectivos vulnerables | Menores, pacientes |
El resultado te lleva a una de tres vías:
- Riesgo improbable → no notificas, pero documentas la brecha y la decisión.
- Riesgo para los derechos → notificas a la autoridad competente sin dilación indebida y, cuando sea posible, dentro de 72 horas.
- Riesgo alto → notificas a la autoridad competente y, salvo una excepción del art. 34.3, comunicas a las personas sin dilación indebida.
Si los datos afectados estaban cifrados o seudonimizados con la clave a salvo, el riesgo baja; conviene revisar el papel de la seudonimización frente a la anonimización en esta valoración.
Cómo notificar en la Sede Electrónica de la AEPD
El procedimiento práctico:
- Accede a la Sede Electrónica de la AEPD y localiza el formulario de “Brechas de seguridad”.
- Identifícate con certificado electrónico o Cl@ve.
- Describe la brecha: naturaleza, categorías y número aproximado de afectados y de registros (art. 33.3).
- Aporta los datos del DPO o punto de contacto.
- Explica las consecuencias probables y las medidas adoptadas o propuestas.
- Envía sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde el conocimiento; explica el retraso si se supera ese plazo.
Si no tienes toda la información, el art. 33.4 permite aportar datos por fases sin dilación indebida. Distingue lo confirmado de lo provisional y conserva las actualizaciones. Si se supera el plazo de 72 horas, acompaña los motivos de la dilación conforme al art. 33.1.
Comunicación a los afectados (art. 34)
Cuando la brecha entraña un riesgo alto, además de notificar a la autoridad competente debes comunicarla a los interesados sin dilación indebida, en lenguaje claro, indicando:
- La naturaleza de la brecha.
- El punto de contacto (DPO).
- Las consecuencias probables.
- Las medidas adoptadas y las recomendaciones (por ejemplo, cambiar contraseñas).
Hay excepciones (art. 34.3): si medidas previas como un cifrado eficaz hacen ininteligibles los datos a terceros, si medidas posteriores garantizan que ya no es probable el riesgo alto, o si la comunicación individual exige un esfuerzo desproporcionado (en cuyo caso cabe una comunicación pública).
Qué información debe contener la notificación
El art. 33.3 fija el contenido mínimo de la notificación a la AEPD. Aunque no dispongas de todo desde el primer momento, debes cubrir estos cuatro bloques:
- Naturaleza de la brecha: descripción del incidente y, en la medida de lo posible, las categorías y el número aproximado de interesados y de registros afectados.
- Datos de contacto: nombre y datos del DPO o punto de contacto donde ampliar información.
- Consecuencias probables: qué daños podrían sufrir los afectados (fraude, suplantación, pérdida de confidencialidad).
- Medidas adoptadas o propuestas: contención, mitigación y medidas para evitar la repetición.
La clave está en no confundir “no tengo todos los datos” con “no notifico”. El art. 33.4 permite completar por fases: una primera notificación con lo esencial sin dilación indebida y, cuando sea posible, dentro de las 72 horas, con ampliaciones posteriores a medida que avanza la investigación. La notificación inicial debe indicar lo conocido con honestidad, sin presentar una estimación como hecho confirmado.
Errores de procedimiento que conviene evitar
- Empezar a contar tarde las 72 horas o esperar a cerrar la investigación.
- No documentar las brechas que se decide no notificar (incumple el art. 33.5).
- No comunicar a los afectados cuando el riesgo es alto.
- No tener un procedimiento interno previo: la improvisación se nota. Conviene disponer de un modelo de procedimiento ante brechas y un registro de brechas listos.
Los posibles incumplimientos se valoran según sus circunstancias; una cifra tomada de otro expediente no permite anticipar la consecuencia de este incidente. Para entender la función de supervisión, consulta la guía de la AEPD como autoridad de control.
Tener responsables designados, un canal para los encargados y evidencias accesibles permite valorar el riesgo, notificar cuando proceda y comunicar a las personas sin esperar a cerrar el incidente. Documenta cada decisión en el expediente.
Antes del formulario: ¿es un incidente de datos personales?
Un servidor caído no equivale por sí solo a una violación de datos personales. Primero delimita qué datos estaban allí, qué ocurrió con ellos y si se perdió confidencialidad, integridad o disponibilidad. Si la caída afecta a una base de citas médicas y no existe copia utilizable durante días, la indisponibilidad puede afectar a las personas aunque nadie haya robado un archivo. En cambio, la avería aislada de un equipo sin datos personales queda fuera del artículo 33, aunque exija respuesta técnica. Conserva ambas conclusiones en el expediente: un registro de incidentes técnicos no sustituye la documentación de las brechas personales.
La investigación inicial debe reconstruir una línea temporal verificable: primera alerta, comprobaciones, momento en que el responsable tuvo certeza razonable de la violación, medidas de contención, valoración del riesgo y decisiones de comunicación. No cambies retroactivamente la hora de conocimiento para ajustarla al plazo. Si el proveedor detectó indicios antes de poder confirmar el alcance, guarda también sus avisos y las preguntas que le hiciste. El procedimiento de respuesta ante brechas puede repartir estas tareas antes de un incidente real.
Comprobar la autoridad competente
El destino no es automáticamente la AEPD por el mero hecho de que una persona afectada viva en España. Comprueba el establecimiento del responsable, si existe tratamiento transfronterizo y cuál es la autoridad principal. La propia AEPD explica cuándo recibe notificaciones de responsables privados establecidos en España o sin establecimiento en la Unión con afectados en España. En el sector público de Andalucía, Cataluña o País Vasco pueden actuar autoridades autonómicas. Si hay varios países o establecimientos, el análisis de ventanilla única requiere especial cuidado; registra por qué elegiste una autoridad y conserva constancia del envío. La guía sobre la AEPD ayuda a separar sus competencias de las de otros organismos.
Convertir el riesgo en una decisión trazable
No basta con escribir «riesgo bajo». Para cada grupo de afectados, combina probabilidad y gravedad de las consecuencias. Un correo con un nombre y una cita visible puede revelar información delicada incluso si solo tiene un destinatario erróneo; pregunta si el destinatario confirmó eliminación, si pudo copiar el contenido y si la identidad del paciente era reconocible. En una pérdida de portátil, verifica qué cifrado estaba activo, quién poseía la clave y si había sesiones abiertas. La mera etiqueta «cifrado» no prueba que el riesgo sea improbable.
Distingue además el riesgo para notificar a la autoridad del riesgo alto que activa, en principio, la comunicación del artículo 34. El mismo análisis puede concluir que procede notificar a la autoridad pero no escribir individualmente a todas las personas. Si más tarde se confirma una filtración, vuelve a valorar ambos umbrales. No retrases la primera notificación por esperar certeza perfecta; actualiza por fases lo que cambie. La valoración y sus revisiones deberían quedar vinculadas al registro interno de brechas.
Repartir tareas sin perder el plazo
La persona de seguridad contiene el incidente y preserva registros; el equipo de privacidad determina si hay datos personales, categoría, afectados y consecuencias; la dirección autoriza recursos y comunicación; el encargado aporta evidencias de su entorno. Una sola persona debe coordinar la línea temporal y el envío, pero ninguna debería depender de que todos los demás hayan acabado para hacer una primera evaluación. Establece canales alternativos si el correo corporativo está comprometido y conserva copia de la información presentada a la autoridad.
Si el incidente ocurre en un encargado, el artículo 33.2 exige que este notifique al responsable sin dilación indebida después de conocerlo. El contrato de encargo del tratamiento puede concretar contactos y datos iniciales, pero no desplaza al encargado la decisión legal del responsable sobre el artículo 33. Comprueba también si intervienen varios responsables: cada uno valora su propio tratamiento y sus obligaciones; una llamada del proveedor común no constituye por sí misma la notificación reglamentaria de todos ellos.
Qué enviar primero y qué ampliar después
En la primera comunicación separa hechos, estimaciones e incógnitas. Identifica la naturaleza del incidente, las categorías y números aproximados cuando sea posible, el contacto, consecuencias probables y medidas tomadas o previstas. Si la cifra de afectados está en investigación, indica el rango o que todavía no puede estimarse y explica por qué. Conserva el identificador de presentación y una copia del formulario. La distinción entre responsable y encargado ayuda a asignar el envío; aquí el objetivo es que el equipo complete el trámite español con evidencias trazables.
La información complementaria no tiene un plazo uniforme para todos los hechos. El artículo 33.4 permite comunicarla por fases sin dilación indebida cuando no es posible aportarla a la vez. Fija responsables y próximas verificaciones para que «en investigación» no se convierta en un cierre tácito. Si aparecen nuevas categorías de datos o medidas, actualiza también el análisis de riesgo y la decisión sobre el artículo 34. Una comunicación inicial enviada dentro de plazo tampoco exime de corregirla si era inexacta.
Avisar a las personas con instrucciones útiles
La comunicación a las personas no es una copia del formulario de la autoridad. Explica en lenguaje claro qué ocurrió, qué datos pueden estar implicados, qué consecuencias se prevén y qué medidas pueden adoptar, con un contacto accesible. Por ejemplo, ante credenciales comprometidas, puede ser pertinente restablecerlas, cerrar sesiones y vigilar intentos de suplantación. Evita instrucciones genéricas que no tengan relación con el riesgo real. Coordina atención al cliente para que no reciba mensajes contradictorios.
El artículo 34.3 prevé supuestos en que no se exige comunicación individual: medidas técnicas previas que hagan ininteligibles los datos para quien no esté autorizado, medidas posteriores que garanticen que ya no sea probable el riesgo alto o esfuerzo desproporcionado; en este último caso se exige comunicación pública u otra medida igualmente eficaz. Documenta los hechos que sostienen cada excepción. El simple hecho de haber contenido el ataque o de tener muchos afectados no demuestra por sí solo que se cumpla una excepción. Una autoridad también puede exigir la comunicación tras valorar el caso.
Cerrar el expediente sin borrar la historia
El artículo 33.5 exige documentar los hechos relacionados con toda violación de datos personales, sus efectos y las medidas correctivas, para que la autoridad pueda verificar el cumplimiento. Incluye en ese registro los motivos de la no notificación si se estimó improbable el riesgo, la evolución de las cifras y las comunicaciones posteriores. No confundas ese expediente con la evaluación de impacto, que estudia un tratamiento de alto riesgo antes de iniciarlo; un incidente puede revelar que aquella evaluación necesita revisión.
Tras la contención, comprueba si fallaron controles de acceso, copias, formación o instrucciones al proveedor. Define dueño y fecha de cada mejora y verifica su ejecución. El cierre técnico del ataque y el cierre de las obligaciones de información pueden ocurrir en momentos diferentes. Mantén trazabilidad incluso si concluyes que no había brecha personal: así el siguiente equipo puede entender la decisión sin reconstruirla desde correos dispersos.
FAQ
¿Desde cuándo se cuentan las 72 horas?
Desde que el responsable tiene conocimiento de la brecha con un grado razonable de certeza de que ha ocurrido, no desde la primera alerta técnica ni desde el cierre de la investigación. El encargado debe avisar al responsable sin dilación indebida al conocer la brecha; el responsable debe evaluar cuándo alcanzó el conocimiento suficiente, sin convertir el aviso del encargado en una regla automática que permita retrasar la valoración.
¿Tengo que notificar siempre una brecha a la AEPD?
No. Se notifica a la AEPD solo si es la autoridad competente y no es improbable que la brecha entrañe riesgo para los derechos y libertades de las personas. Si el riesgo es improbable, no se notifica a la autoridad, pero debes documentar la brecha en el registro interno del art. 33.5 y justificar la decisión.
¿Qué pasa si notifico fuera de las 72 horas?
Puedes hacerlo, pero debes acompañar la notificación de los motivos de la dilación (art. 33.1). La autoridad examinará las circunstancias del retraso y el cumplimiento global; no existe una cuantía de sanción automática por superar el plazo.
¿Cuándo debo avisar a los afectados?
Cuando la brecha suponga un riesgo alto para sus derechos (art. 34). Debes hacerlo sin dilación indebida y en lenguaje claro. Hay excepciones condicionadas, por ejemplo cuando un cifrado eficaz previo hace ininteligibles los datos para terceros o medidas posteriores garantizan que ya no es probable el riesgo alto; documenta por qué se cumplen.
Fuentes oficiales: RGPD, artículos 4.12, 33 y 34; AEPD, notificación de brechas y autoridades competentes; AEPD, preguntas frecuentes sobre notificación.