La Gaceta del Centinela
En tiempos de sobreinformación: referencias verificables y contraste adicional cuando exista más de una fuente fiable.
Te han hackeado o has perdido datos de clientes: las 72 horas para notificar a la AEPD y cómo gestionarlas
Contenido orientativo con fuentes oficiales y referencias contrastables. No sustituye asesoramiento jurídico ni técnico especializado.
Una brecha de seguridad no es solo un hackeo. Un portátil perdido con datos de clientes, un email enviado por error a la persona equivocada, un empleado que descarga datos sin permiso: todos son brechas. El RGPD da 72 horas para actuar.
Puntos clave
- 1La obligación de notificar a la AEPD existe cuando hay riesgo para los derechos de los afectados
- 2No toda brecha se notifica: si los datos estaban cifrados y el riesgo es improbable, solo se documenta
- 3El plazo de 72 horas comienza desde que el responsable TIENE CONOCIMIENTO, no desde que ocurre
- 4La notificación escalonada es válida: notificas con lo que sabes y completas después
- 5Notificar voluntariamente reduce significativamente las sanciones
¿Cuándo hay obligación de notificar a la AEPD?
La obligación existe cuando la brecha 'puede entrañar un riesgo para los derechos y libertades de las personas físicas'. No es automática ante cualquier incidente. Hay que valorar: ¿qué datos? (los de salud o económicos tienen más riesgo que un email), ¿cuántas personas? (más afectados = más riesgo), ¿puede usarlos un tercero para causar daño? (robo de contraseñas sí, error interno sin acceso externo quizás no). Si el riesgo es 'improbable', no hay obligación de notificar a la AEPD, pero sí de documentar la valoración.
Las 72 horas: cómo gestionarlas
Hora 0-6: Confirmar el incidente, identificar el alcance inicial, contener (cambiar contraseñas, aislar sistemas). Hora 6-24: Evaluar qué datos se han visto afectados y cuántas personas. Decidir si hay obligación de notificar. Hora 24-72: Si hay obligación, presentar la notificación inicial en la Sede Electrónica de la AEPD con la información disponible. Es válido indicar que la investigación continúa y completar después.
Cómo notificar: el formulario de la AEPD
La notificación se hace en la Sede Electrónica de la AEPD (sede.aepd.gob.es → 'Notificación de brechas'). La información mínima: descripción de qué ocurrió, categorías y número aproximado de personas afectadas, consecuencias probables, medidas adoptadas o propuestas. Si no tienes toda la información, deja claro que es una notificación inicial y que la completarás. Es mejor notificar con información incompleta que no notificar.
¿Cuándo hay que informar también a los afectados?
Si el riesgo para los interesados es ALTO (pueden sufrir discriminación, robo de identidad, pérdida económica, daño reputacional…), hay que comunicárselo también a ellos, de forma clara y sin tecnicismos. El mensaje debe explicar qué pasó, qué datos se vieron afectados, qué hace la empresa para remediarlo y qué pueden hacer ellos para protegerse.
Próximos pasos recomendados
- 1Crea un protocolo básico de respuesta a brechas: quién lidera, cómo se valora el riesgo, cómo se notifica
- 2Ten a mano el enlace a la Sede Electrónica de la AEPD para notificaciones de brechas
- 3Empieza a documentar cualquier incidente, aunque decidas que no hay obligación de notificar
¿Tienes dudas concretas sobre este tema?
Pregúntale directamente a Centinela AI con tu contexto específico. Responde en segundos con fuentes citadas.
Probar gratis, sin tarjetaFuentes y referencias
- RGPD arts. 33 y 34 — Notificación de brechas, Obligaciones de notificación a la autoridad y a los interesados
- AEPD — Sede Electrónica: notificación de brechas, Portal para notificar brechas de seguridad a la AEPD
También en RGPDAplicado
Un cliente te pide que borres sus datos: qué haces, qué no puedes borrar y cómo responder
5 min
Envías newsletter a tus clientes: ¿necesitas consentimiento? La respuesta depende de cuándo se hicieron clientes
5 min
Cámaras de seguridad en tu local o empresa: qué permite el RGPD y qué está terminantemente prohibido
5 min