Una brecha de seguridad no avisa con antelación. Ocurre en cualquier momento – un servidor comprometido a las tres de la madrugada, un correo enviado al destinatario equivocado, un disco duro extraviado – y la empresa dispone de un margen muy reducido para reaccionar antes de que la exposición regulatoria se vuelva difícil de gestionar. En el entorno normativo actual, la diferencia entre una respuesta ordenada y una improvisada puede determinar si la Agencia Española de Protección de Datos (AEPD) cierra un expediente sin sanción o abre un procedimiento sancionador de calado.
El RGPD define la brecha de seguridad como cualquier incidente que provoque la destrucción, pérdida, alteración, comunicación no autorizada o acceso no autorizado a datos personales. La definición es amplia a propósito. No se limita a los ciberataques: abarca fallos humanos, errores de configuración, subcontratistas que pierden información o cualquier situación que comprometa la confidencialidad, integridad o disponibilidad de los datos que la empresa trata.
El RGPD establece una arquitectura de obligaciones en dos niveles. El primer nivel afecta siempre al responsable del tratamiento: registrar el incidente con independencia de su gravedad, valorar si existe riesgo para los derechos y libertades de las personas físicas y decidir si procede la notificación a la autoridad de control. El segundo nivel se activa cuando ese riesgo es probable: la empresa debe notificar a la AEPD en el plazo de setenta y dos horas desde que tiene conocimiento del incidente.
Un matiz relevante en nuestra práctica: el plazo corre desde que la empresa "tiene conocimiento", no desde que ocurre el incidente. Ello no es una puerta de escape. La AEPD y el Comité Europeo de Protección de Datos han consolidado el criterio de que la empresa no puede dilatar artificialmente el momento en que "toma conocimiento". Si el departamento de sistemas detecta el incidente el lunes y la dirección jurídica no lo sabe hasta el jueves por falta de canales internos, ese déficit de protocolo interno puede considerarse agravante.
Cuando el riesgo para los afectados es alto – robo de credenciales bancarias, datos sanitarios, información que puede dar lugar a discriminación o suplantación de identidad – la empresa debe además comunicar el incidente a las personas físicas afectadas. Esta comunicación debe ser clara, en lenguaje comprensible, y describir la naturaleza del incidente, los datos comprometidos y las medidas adoptadas. La LOPDGDD refuerza este régimen para categorías especiales de datos y para entidades que operan en sectores sensibles.
¿Qué empresas están sujetas a este marco? Todas las que traten datos personales en el contexto de actividades establecidas en la Unión Europea, con independencia de su tamaño. La dimensión de la empresa influye en la complejidad del programa de compliance, pero no en la obligación de notificación.
La primera hora tras la detección de una brecha determina la calidad de todo lo que viene después. En nuestra experiencia asesorando a empresas en procesos de respuesta a incidentes, los errores más costosos no ocurren en la fase de notificación: ocurren en los minutos previos, cuando alguien toma decisiones técnicas o comunicativas sin coordinación jurídica.
La dirección debe activar de inmediato cuatro decisiones en paralelo.
La primera es la contención técnica. Aislar los sistemas afectados, preservar los registros de actividad (logs) y evitar cualquier acción que destruya evidencias. Este punto es crítico: apagar un servidor sin volcar los logs puede eliminar la prueba necesaria para demostrar que la empresa actuó diligentemente o para delimitar el alcance real del incidente.
La segunda decisión es la activación del equipo de respuesta. Debe intervenir un equipo multidisciplinar: sistemas, jurídico, comunicación y dirección ejecutiva. Si la empresa tiene un Delegado de Protección de Datos (DPO), su participación es inmediata y preceptiva. El DPO no suplanta a la dirección, pero su análisis orienta las decisiones de notificación.
La tercera es la valoración preliminar del riesgo. En las primeras horas, el equipo debe responder tres preguntas: ¿qué datos se han visto comprometidos? ¿Cuántos afectados pueden verse implicados? ¿Qué probabilidad hay de que el incidente cause daño real a esas personas? Las respuestas determinan si la empresa notifica a la AEPD, si informa a los afectados y con qué urgencia.
La cuarta decisión es la preservación de la cadena de custodia documental. Cada paso debe quedar registrado: quién detectó el incidente, cuándo, qué medidas se adoptaron y cuándo. Esta documentación es la defensa de la empresa si la AEPD abre una investigación. Un registro de incidentes riguroso puede transformar una sanción grave en una advertencia o en el cierre del expediente sin consecuencias.
La obligación de notificar a la AEPD en setenta y dos horas es el eje central de la gestión de brechas. No es un plazo orientativo. Su incumplimiento es, por sí solo, un elemento que la AEPD pondera como agravante en el expediente sancionador.
La notificación se presenta a través del portal habilitado por la AEPD. No requiere que la investigación interna esté concluida: el RGPD admite notificaciones por fases cuando la información completa no está disponible en el momento inicial. Lo que no admite es la omisión. Una empresa que decide no notificar porque "la brecha fue pequeña" o "no parece que haya habido acceso externo" y luego resulta que sí lo hubo, se enfrenta a un escenario de responsabilidad acumulada difícil de gestionar.
La notificación debe incluir, como mínimo: la naturaleza del incidente, las categorías y el número aproximado de afectados, los datos comprometidos, las consecuencias probables y las medidas adoptadas o propuestas. Si la empresa no dispone de toda esta información en el momento de notificar, debe indicarlo expresamente y comprometerse a completar la notificación en cuanto la tenga.
¿Qué ocurre si la empresa decide, tras valorar el riesgo, que no es necesario notificar? También esa decisión debe quedar documentada. La empresa debe poder acreditar, si la AEPD lo requiere, que valoró el incidente, que analizó el riesgo y que concluyó motivadamente que no alcanzaba el umbral de notificación. La ausencia de documentación en ese escenario es tan problemática como no haber notificado.
Una brecha de seguridad que afecta a datos gestionados a través del canal de denuncias de la empresa presenta una complejidad añadida. El canal de denuncias – regulado por la normativa de protección de informantes – trata categorías de datos especialmente sensibles: identidades de denunciantes, investigados y testigos. Un incidente que comprometa esa información puede tener consecuencias que van más allá del ámbito puramente sancionador de la normativa de protección de datos.
En el plano del compliance penal, la empresa debe valorar si el incidente activa obligaciones de comunicación adicionales o si compromete la eficacia del programa de cumplimiento. Hemos observado que las empresas con un modelo de compliance penal estructurado, con canales de denuncia correctamente securizados y con procedimientos de respuesta a incidentes integrados en el propio programa, reducen significativamente su exposición en caso de brecha. El programa de compliance no es solo un instrumento de prevención: es también un mecanismo de defensa reactiva.
La convergencia entre protección de datos y compliance penal es especialmente relevante en sectores regulados: banca, seguros, salud, energía y tecnología. En esos entornos, un incidente de seguridad puede activar obligaciones de notificación ante múltiples autoridades de forma simultánea – AEPD, Banco de España, Comisión Nacional del Mercado de Valores, entre otras – y el desacuerdo entre los mensajes enviados a cada una puede generar contradicciones que complican la defensa de la empresa.
Para las empresas que operan con datos de carácter sensible o que gestionan canales de denuncia, la integración del protocolo de brechas en el modelo de compliance penal no es una opción: es una exigencia de coherencia sistémica. Puede ampliar su conocimiento sobre este enfoque en nuestra sección de protección de datos y compliance.
La comunicación a las personas físicas afectadas es la decisión más visible y, paradójicamente, la más postergada en la práctica empresarial. Las empresas tienden a evitarla por temor al impacto reputacional. Ese temor es comprensible, pero el razonamiento es corto. Una comunicación tardía o incompleta, cuando la AEPD la detecta, se convierte en un agravante. Una comunicación proactiva, bien gestionada, puede ser en cambio un elemento mitigador de la sanción.
La comunicación a los afectados se activa cuando la brecha entraña un alto riesgo para sus derechos y libertades. La valoración de ese "alto riesgo" es una cuestión técnico-jurídica que no puede resolverse intuitivamente. Depende del tipo de dato comprometido, del volumen de afectados, del contexto en que se tratan los datos y de la probabilidad de que el incidente derive en daño real – suplantación de identidad, pérdida económica, discriminación, daño a la reputación personal.
El mensaje debe ser claro, sin tecnicismos innecesarios y orientado a que el afectado pueda tomar medidas de protección. Debe indicar qué ocurrió, qué datos se vieron afectados, qué ha hecho la empresa y qué puede hacer el afectado para protegerse. No debe minimizar el incidente ni generar alarma desproporcionada. El tono y el contenido de esa comunicación son revisables por la AEPD.
En nuestra práctica, uno de los errores más frecuentes es delegar esta comunicación exclusivamente en el departamento de comunicación o en el área comercial sin supervisión jurídica. El resultado puede ser un mensaje bien redactado desde el punto de vista de relaciones públicas pero incorrecto desde el punto de vista regulatorio. Ambas perspectivas deben coexistir.
La respuesta a una brecha es, en gran medida, el resultado de lo que la empresa hizo antes de que ocurriera. Un programa de compliance empresa con un protocolo de gestión de incidentes definido, un registro de actividades de tratamiento actualizado y personal formado puede ejecutar la respuesta en los plazos legales sin necesidad de improvisar. Sin ese programa, cada brecha es una crisis que empieza de cero.
El registro de actividades de tratamiento – que el RGPD exige a la mayoría de las organizaciones que tratan datos a una cierta escala – no es un trámite burocrático. Es el documento que permite, en las primeras horas tras un incidente, identificar qué datos se tratan, con qué base jurídica, con qué encargados de tratamiento y con qué medidas de seguridad. Sin él, la valoración del riesgo de una brecha puede tardar días en lugar de horas.
La adaptación RGPD real – no la que se reduce a incluir una política de privacidad en la web – implica haber documentado los tratamientos, haber realizado análisis de riesgo donde corresponde, haber implantado medidas técnicas y organizativas proporcionadas y haber formado al personal. Esta es la diferencia entre una empresa que puede demostrar diligencia ante la AEPD y una que no puede.
La creencia de que con una cláusula de privacidad en la web ya se cumple el RGPD es uno de los mitos más extendidos y más costosos del entorno empresarial español. La AEPD lo ha corregido con sus resoluciones de forma reiterada: el cumplimiento del RGPD es un programa continuo, no un documento puntual. El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen de forma demostrable la sanción y la responsabilidad en caso de incidente.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos esos sectores, la pregunta no es si ocurrirá una brecha, sino cuándo y si la empresa estará preparada para responder.
Las empresas que operan en varios Estados miembros de la Unión Europea deben coordinar la respuesta a una brecha a través del mecanismo de ventanilla única. Cuando la empresa tiene su establecimiento principal en España, la autoridad de control principal es la AEPD, pero debe informar a las autoridades de otros países miembros afectados. Este proceso tiene sus propias reglas de coordinación y sus propios plazos.
Si la brecha afecta a datos de personas situadas fuera de la UE – por ejemplo, en el contexto de una operación internacional que implica transferencias de datos a terceros países – la empresa debe además valorar si esas transferencias estaban correctamente amparadas. Una brecha que descubra que los datos se transferían a un tercer país sin las garantías adecuadas convierte un incidente de seguridad en una infracción doble.
Para las empresas que realizan transferencias internacionales de datos, el análisis de las cláusulas contractuales tipo y de las salvaguardas adoptadas es parte integrante del protocolo de respuesta a brechas. Si quiere profundizar en ese análisis, puede consultar nuestra guía de preguntas frecuentes sobre transferencias internacionales de datos. En operaciones que involucren jurisdicciones no europeas, coordinamos con abogados locales de confianza en la jurisdicción correspondiente para garantizar la coherencia de la respuesta.
La exposición económica de una empresa ante una brecha mal gestionada tiene tres vectores distintos que conviene analizar por separado.
El primero es el riesgo sancionador. La AEPD puede imponer sanciones de distinta gravedad según la naturaleza, gravedad y duración de la infracción. El sistema de cálculo pondera tanto circunstancias agravantes – reincidencia, dolo, falta de medidas técnicas básicas, negativa a cooperar – como circunstancias atenuantes, entre las que figura de forma explícita la adopción de medidas de cumplimiento previas al incidente. La empresa que tiene su programa de compliance en orden parte de una posición notablemente mejor.
El segundo vector es el riesgo reputacional. Una brecha que se convierte en noticia – porque la empresa notificó a los afectados o porque la AEPD publicó su resolución – tiene un impacto en la confianza de clientes, socios y proveedores que puede superar con creces el coste directo de la sanción. La reputación en materia de seguridad de los datos es, en sectores como salud, finanzas o tecnología, un activo competitivo.
El tercer vector es el riesgo de reclamaciones civiles. Las personas físicas afectadas por una brecha tienen derecho a reclamar indemnización por los daños y perjuicios sufridos. La legislación aplicable facilita el ejercicio de esa acción: la carga de la prueba puede desplazarse al responsable del tratamiento en determinados supuestos. Una brecha con un volumen elevado de afectados puede dar lugar a reclamaciones individuales o colectivas de cuantía relevante.
¿Cómo se reduce esa exposición? Con dos instrumentos: medidas técnicas y organizativas previas, y asesoramiento jurídico temprano en el momento de la brecha. El asesoramiento en las primeras horas tiene un efecto multiplicador sobre la calidad de la respuesta y sobre la documentación que la empresa podrá presentar ante la AEPD.
Si desea conocer cómo afecta esta problemática a sectores específicos en el contexto de las transferencias de datos, puede consultar nuestro análisis sobre cláusulas tipo frente a evaluación de impacto en el sector agroalimentario.
Este esquema resume las acciones que debe ejecutar la empresa desde la detección del incidente hasta el cierre del expediente. No sustituye al protocolo interno documentado, pero ofrece una guía de referencia ejecutiva.
Fase 1 – Detección y contención (primeras horas)
Fase 2 – Valoración del riesgo (primeras doce a veinticuatro horas)
Fase 3 – Notificación a la AEPD (antes de setenta y dos horas)
Fase 4 – Comunicación a los afectados (si aplica riesgo alto)
Fase 5 – Cierre y mejora continua
La gestión de brechas de seguridad se inscribe en el ámbito más amplio de la adaptación RGPD y del compliance empresa. En Velarde & Vidal asesoramos también en el diseño de programas de cumplimiento integrados que combinan protección de datos, compliance penal y gestión del canal de denuncias. Si su empresa opera en sectores con alta densidad regulatoria – tecnología, salud, industria o finanzas – la convergencia entre estas disciplinas es un factor que conviene gestionar de forma unitaria, no compartimentada.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.