Una brecha de seguridad que afecta a datos personales no es un incidente técnico menor: es un evento con consecuencias jurídicas, reputacionales y económicas que se activan en el momento en que la empresa tiene conocimiento del hecho. El reloj empieza a correr de inmediato. La normativa europea y española fija un plazo estricto y un procedimiento exigente que muchas organizaciones descubren demasiado tarde.
El RGPD y la LOPDGDD articulan un sistema de responsabilidad activa. La empresa no espera a ser inspeccionada: documenta, evalúa y, cuando procede, notifica. Este principio de accountability lo impregna todo.
Cuando se produce una brecha de seguridad – una violación de la seguridad que ocasiona la destrucción, pérdida, alteración o divulgación no autorizada de datos personales –, la normativa de protección de datos distingue dos obligaciones paralelas pero independientes:
Conviene detenerse en la expresión "tiene conocimiento". La jurisprudencia y las directrices de los comités europeos de supervisión han precisado que el conocimiento no exige certeza absoluta sobre todos los detalles del incidente. Basta con que la empresa haya constatado, con una seguridad razonable, que se ha producido una brecha que afecta a datos personales. Postergar artificialmente ese momento no detiene el cómputo del plazo: puede agravarlo.
En nuestra práctica hemos observado que muchas empresas cometen un error conceptual en este punto. Confunden "investigar la brecha" con "tener conocimiento de ella". Ambas cosas pueden coincidir, pero no son lo mismo. La empresa puede – y en muchos casos debe – notificar a la AEPD antes de disponer de toda la información, utilizando la notificación por fases que prevé la propia normativa.
El Tribunal Supremo y las resoluciones de la AEPD han consolidado el criterio de que la obligación de documentar y notificar recae sobre el responsable del tratamiento, incluso cuando el incidente se origina en un encargado del tratamiento (un proveedor, un tercero de confianza, una plataforma en la nube). El responsable no puede escudarse en el fallo del proveedor para eludir sus propias obligaciones.
¿Qué ocurre si la brecha es improbable que genere riesgo? En ese caso, la empresa no está obligada a notificar a la AEPD, pero sí debe documentar la brecha internamente, consignar los hechos, la evaluación de riesgo realizada y la conclusión motivada que la exime de notificación. Esta documentación debe conservarse y estar disponible para cualquier inspección posterior.
La notificación no es un simple aviso de que "ha pasado algo". Es un documento estructurado que la AEPD utiliza para valorar la gravedad del incidente, la respuesta de la empresa y la necesidad de intervención supervisora. Un formulario incompleto o impreciso puede ser contraproducente.
La normativa exige, como mínimo, los siguientes contenidos:
Cuando la empresa no puede reunir toda esta información en el plazo de 72 horas, la normativa permite una notificación inicial parcial, seguida de información adicional en cuanto esté disponible. Esta notificación por fases es una herramienta valiosa: demuestra diligencia y evita la infracción por incumplimiento del plazo.
Hemos asesorado a empresas tecnológicas y a grupos industriales que, al recibir la alerta de un incidente en viernes tarde, se encontraron ante la disyuntiva de notificar con información incompleta o esperar al lunes con el riesgo de sobrepasar las 72 horas. La respuesta correcta en esos casos es notificar de forma inicial, documentar la situación y completar la notificación de forma diligente.
La notificación a la AEPD no es una tarea exclusiva del departamento técnico ni del responsable de informática. Es una decisión que involucra a la dirección jurídica, al órgano de administración y, en empresas con sistemas de compliance implantados, al canal de denuncias y al compliance officer.
¿Por qué la dirección debe involucrarse directamente? Porque las consecuencias de una gestión incorrecta no son solo sancionadoras: afectan a la reputación de la empresa, a las relaciones con clientes y proveedores, y en determinados sectores – fintech, salud, infraestructuras críticas – pueden implicar obligaciones de notificación adicionales ante otros organismos supervisores.
Las decisiones clave son cuatro:
La evaluación del riesgo es el núcleo de todo el proceso. Exige ponderar la sensibilidad de los datos comprometidos (datos de salud, datos financieros, datos de menores presentan un nivel de riesgo significativamente mayor), el número de personas afectadas, las medidas técnicas preexistentes (cifrado, seudonimización) y la naturaleza del incidente (acceso interno, ataque externo, pérdida física de soportes).
Una empresa sin un protocolo de gestión de brechas establecido se enfrenta a esta evaluación bajo presión, con información incompleta y sin un equipo coordinado. El resultado habitual es la demora, la notificación extemporánea o la infravaloración del riesgo: tres errores que la AEPD pondera negativamente en sus procedimientos sancionadores.
La comunicación directa a las personas afectadas es una obligación distinta y adicional a la notificación a la AEPD. No toda brecha que se notifica a la autoridad de control requiere informar individualmente a los interesados. Solo cuando el incidente supone un riesgo alto para sus derechos y libertades surge esta segunda obligación.
La práctica de la AEPD y las directrices del Comité Europeo de Protección de Datos identifican como indicadores de riesgo alto, entre otros: la exposición de contraseñas sin cifrar, la filtración de datos de salud o financieros, la brecha que afecta a datos de menores o a personas en situación de vulnerabilidad, y cualquier incidente que pueda facilitar el robo de identidad o el fraude.
La comunicación a los afectados debe describir en lenguaje claro – no en términos técnicos ni en terminología jurídica – qué ha ocurrido, qué datos pueden verse comprometidos y qué medidas puede adoptar el afectado para protegerse. Una comunicación opaca o que minimiza el alcance real del incidente puede agravar la valoración de la AEPD sobre la conducta de la empresa.
Existe una excepción relevante: si la empresa acredita que los datos afectados estaban cifrados con medidas técnicas adecuadas y la probabilidad de acceso efectivo a los datos legibles es mínima, puede quedar exonerada de la comunicación a los afectados. Esta excepción requiere documentación técnica sólida.
La creencia de que una cláusula de privacidad en la web cubre las obligaciones del RGPD es un mito frecuente en empresas de todos los tamaños. Hemos visto cómo organizaciones con esa convicción llegan a una brecha sin protocolo, sin registro de tratamientos actualizado y sin un equipo de respuesta designado. El resultado es predecible: notificación tardía, información incompleta ante la AEPD y una exposición sancionadora que un programa de cumplimiento habría reducido de forma significativa.
El asesoramiento jurídico especializado antes de que ocurra una brecha no es un gasto preventivo abstracto. Es la diferencia entre una respuesta coordinada en 72 horas y una gestión improvisada que multiplica el riesgo. En nuestra experiencia asesorando a empresas en España, los elementos que más reducen la exposición son tres:
Las resoluciones sancionadoras de la AEPD reflejan con consistencia que la existencia de medidas técnicas y organizativas previas, la notificación diligente y la colaboración activa con la autoridad son factores que moderan la sanción. A la inversa, la ausencia de protocolo, la demora injustificada y la información incompleta agravan la respuesta supervisora.
¿Qué papel juega el compliance penal en este contexto? Las empresas con un programa de compliance penal bien diseñado disponen de una estructura de control interno que facilita la detección y la respuesta ante incidentes de seguridad. El canal de denuncias, la función del compliance officer y los procedimientos de escalado interno son instrumentos que, correctamente articulados, reducen el tiempo de detección y mejoran la calidad de la respuesta ante la AEPD. La sinergia entre el modelo de compliance penal de la empresa y el programa de protección de datos es uno de los ejes de nuestra práctica.
En nuestra práctica hemos identificado un conjunto de errores recurrentes que amplifican innecesariamente el coste regulatorio y reputacional de una brecha. Conocerlos de antemano es parte de cualquier programa de preparación.
Error 1: Retrasar la notificación esperando a "tener toda la información". La normativa no exige información completa para notificar: permite la notificación por fases. Esperar implica sobrepasar las 72 horas y convertir un incidente gestionable en una infracción adicional.
Error 2: Considerar que el incidente "no es tan grave" sin una evaluación formal. La apreciación subjetiva de la gravedad no es suficiente. La AEPD exige que la empresa documente la evaluación de riesgo, con criterios objetivos y razonados. Sin esa documentación, la empresa no puede acreditar que actuó conforme a la normativa.
Error 3: No actualizar el registro de tratamientos. Un registro desactualizado impide identificar con rapidez los datos afectados, los encargados involucrados y los interesados que deben ser notificados. Es el primer documento que solicitará cualquier inspector.
Error 4: Gestionar la comunicación externa antes de la interna. La precipitación en comunicar públicamente un incidente, antes de tener un diagnóstico mínimo, puede amplificar el daño reputacional y comprometer la posición de la empresa ante la AEPD.
Error 5: Tratar la brecha como un problema exclusivamente técnico. El impacto jurídico, contractual y reputacional de una brecha supera con frecuencia el daño técnico. La dirección jurídica debe estar en el equipo de respuesta desde el primer momento.
El siguiente esquema sintetiza las fases de actuación recomendadas. Su utilidad real depende de que esté integrado en un protocolo formal, probado y conocido por los equipos responsables antes de que ocurra ningún incidente.
La fase 7 es tan importante como las anteriores. Las empresas que disponen de una documentación completa y ordenada del incidente se encuentran en una posición notablemente mejor cuando la AEPD abre una actuación de investigación o un procedimiento sancionador.
La figura del delegado de protección de datos (DPD) es central en la gestión de brechas. Para las entidades obligadas a designarlo por la normativa – y para muchas que lo han hecho voluntariamente –, el DPD actúa como interlocutor con la AEPD, como supervisor interno del proceso y como garante de que la evaluación de riesgo se realiza con los criterios adecuados.
En empresas sin DPD formal, la responsabilidad recae directamente sobre el órgano de administración o sobre quien haya asumido funciones de responsable del tratamiento. La ausencia de DPD no exime de ninguna obligación: simplemente concentra la carga sobre la dirección.
Cuando el incidente tiene su origen en un encargado del tratamiento – un proveedor de servicios en la nube, una empresa de mantenimiento, un procesador de datos externo –, el encargado está obligado a notificarlo al responsable sin dilación indebida. Sin embargo, la obligación de notificar a la AEPD es del responsable. El contrato de encargado de tratamiento debe recoger este flujo de notificación de forma expresa. Si no lo recoge, existe un gap de cumplimiento que puede complicar la gestión del incidente.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y uno de los puntos de fricción más habituales es precisamente la cadena de notificación con los encargados del tratamiento. La revisión de los contratos con proveedores es una medida preventiva de alto valor.
Antes de que se produzca cualquier incidente, la empresa debe poder responder afirmativamente a las siguientes preguntas. Este listado no es exhaustivo, pero identifica los elementos mínimos de preparación:
Si alguna de estas respuestas es negativa, la empresa opera con una exposición regulatoria que puede materializarse en cualquier momento. El momento de diseñar un protocolo no es después de una brecha: es antes.
La gestión de brechas de seguridad forma parte de una estrategia más amplia de adaptación al RGPD y de compliance corporativo. En Velarde & Vidal acompañamos a empresas en el diseño de programas integrales de protección de datos y compliance, que abarcan desde el análisis de lagunas normativas hasta la implantación de protocolos operativos y la representación ante la AEPD en procedimientos sancionadores. Para organizaciones del sector financiero y fintech, las obligaciones de notificación de brechas se entrelazan con requerimientos supervisores adicionales; puede ampliar información en nuestro análisis sobre fintech y servicios financieros.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.