El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) han transformado radicalmente la forma en que las empresas gestionan los incidentes que afectan a datos personales. Una brecha de seguridad mal gestionada no solo expone a la organización a sanciones relevantes por parte de la Agencia Española de Protección de Datos (AEPD): puede comprometer la continuidad del negocio, deteriorar la confianza de clientes y socios, y derivar en responsabilidad civil o, en determinados supuestos, en responsabilidad penal. En nuestra experiencia asesorando a empresas en España, los incidentes más costosos no son los más graves desde el punto de vista técnico, sino aquellos que se gestionan sin protocolo y fuera de los plazos que exige la normativa.
La normativa de protección de datos define la brecha de seguridad como cualquier incidente que provoque la destrucción, pérdida, alteración, comunicación no autorizada o el acceso no autorizado a datos personales, de forma accidental o ilícita. No se trata únicamente de un ciberataque. Un correo enviado al destinatario equivocado, la pérdida de un portátil corporativo o el acceso indebido de un empleado a expedientes de otros departamentos son, en sentido estricto, brechas de seguridad que activan las obligaciones de la empresa.
Esta definición amplia sorprende con frecuencia a la dirección. El AUDIENCE_MYTH más extendido en el tejido empresarial español es que una cláusula de privacidad en la web o un aviso legal actualizado equivalen al cumplimiento del RGPD. No es así. El cumplimiento real exige un registro de actividades de tratamiento, medidas técnicas y organizativas documentadas, un protocolo de respuesta ante incidentes y, en muchos casos, un delegado de protección de datos. La brecha de seguridad es, en realidad, el momento en que todo ese andamiaje se pone a prueba.
¿Qué ocurre cuando ese andamiaje no existe? La empresa no dispone de los procedimientos para identificar el incidente a tiempo, no tiene claro quién toma las decisiones ni en qué plazo, y llega a la AEPD sin documentación ni medidas correctoras. Ese escenario agrava la valoración del organismo supervisor y puede derivar en sanciones de mayor cuantía y, en ciertos supuestos, en la apertura de un procedimiento de infracción.
El RGPD establece un sistema escalonado de obligaciones. La primera, y más urgente, es la notificación a la autoridad de control en el plazo de 72 horas desde que el responsable del tratamiento tiene conocimiento del incidente, siempre que exista probabilidad de que la brecha entrañe un riesgo para los derechos y libertades de las personas afectadas. La evaluación de ese riesgo corresponde al propio responsable, asistido si procede por el delegado de protección de datos.
Si el riesgo es alto, se activa una segunda obligación: comunicar la brecha a los propios interesados – es decir, a las personas cuyos datos se han visto comprometidos – sin dilación indebida. Esta comunicación debe ser clara, transparente y describir las medidas adoptadas para mitigar el daño. En nuestra práctica hemos observado que las empresas que disponen de plantillas de comunicación preaprobadas reducen el tiempo de respuesta de manera considerable.
Junto a estas obligaciones de notificación, la normativa exige que el responsable documente todas las brechas de seguridad que se produzcan, independientemente de si se ha notificado o no. Ese registro interno es fundamental en cualquier inspección o procedimiento sancionador posterior.
La LOPDGDD adapta el régimen del RGPD al ordenamiento español y atribuye a la AEPD las funciones de supervisión, investigación y sanción. La autoridad puede iniciar actuaciones de oficio, por denuncia o a raíz de una notificación de brecha. El programa de adaptación al RGPD y la existencia de un modelo de compliance documentado son los principales factores atenuantes que la AEPD valora en su análisis.
En nuestra experiencia asesorando a empresas de distintos sectores, las brechas más frecuentes responden a cuatro patrones principales. El primero es el ataque de ransomware o cifrado de sistemas, que puede afectar simultáneamente a la confidencialidad, integridad y disponibilidad de los datos. El segundo es la filtración por error humano: envíos de correo masivo con destinatarios en copia visible, adjuntos enviados a la persona incorrecta o accesos compartidos sin control.
El tercer patrón es el acceso no autorizado por parte de terceros, ya sean proveedores con accesos excesivos o ex-empleados cuyos credenciales no se han revocado a tiempo. El cuarto, y crecientemente relevante para el tejido industrial, es la brecha en la cadena de suministro: un proveedor que trata datos por cuenta del responsable sufre un incidente y la obligación de notificación recae sobre el responsable del tratamiento, no sobre el encargado. Este esquema, que deriva del régimen de encargados del tratamiento previsto en la normativa, lleva con frecuencia a situaciones de incertidumbre sobre quién debe notificar y en qué plazo.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos el análisis inicial de la cadena de encargados de tratamiento revela brechas contractuales y organizativas que, de no corregirse, multiplican el riesgo en caso de incidente.
La decisión de notificar o no a la AEPD es una de las más críticas que debe tomar la empresa tras detectar un incidente. La normativa no establece una lista cerrada de supuestos: la obligación depende de si existe una probabilidad de que la brecha cause perjuicio a los derechos y libertades de las personas físicas afectadas. Esa probabilidad se evalúa considerando la naturaleza de los datos implicados, el número de afectados, las medidas de seguridad que estaban vigentes y las consecuencias previsibles del incidente.
Los datos especialmente sensibles – los relativos a la salud, la ideología, la religión, la orientación sexual, el origen racial, los datos biométricos o los datos penales – elevan de forma automática el nivel de riesgo. Una brecha que afecte a ese tipo de información casi siempre requiere notificación y, en función del riesgo, también comunicación a los interesados.
¿Cómo se documenta esa evaluación? La empresa debe registrar, con independencia del resultado, el proceso de análisis seguido, los criterios aplicados y la conclusión alcanzada. Si se decide no notificar, esa decisión debe estar justificada y documentada. Si la AEPD posteriormente investiga el incidente y no encuentra esa documentación, la ausencia de registro puede interpretarse como agravante.
El plazo de 72 horas es improrrogable para la notificación inicial. Si en ese plazo no se dispone de información completa, se puede presentar una notificación provisional e ir completando la información en fases posteriores. Lo que no admite la normativa es la espera hasta tener toda la información para notificar: el plazo corre desde el momento del conocimiento, no desde la conclusión de la investigación interna.
El delegado de protección de datos (DPD) es una figura clave en la gestión de incidentes. Su función no es decidir en nombre de la empresa, sino asesorar al responsable del tratamiento, coordinar la respuesta y actuar como punto de contacto con la AEPD. En determinadas organizaciones, la designación de un DPD es obligatoria; en otras es voluntaria pero altamente recomendable.
Cuando se produce una brecha, el DPD debe ser informado de inmediato. En muchas empresas medianas, el DPD es un profesional externo que presta el servicio mediante un contrato de asesoría especializada. Esa figura tiene la ventaja de la independencia y de la visión comparada entre distintos clientes y sectores, pero exige que existan canales internos de comunicación claros para que el aviso llegue sin demora.
La AEPD puede requerir en cualquier momento los datos de contacto del DPD y dirigirse directamente a él para solicitar información sobre el incidente. Si la empresa no tiene DPD o el que tiene no ha sido informado de la brecha, el organismo supervisor lo interpretará como una deficiencia organizativa que puede influir en la valoración del expediente sancionador.
La relación entre la normativa de protección de datos y el compliance penal es más estrecha de lo que habitualmente se percibe en la empresa española. La normativa penal vigente contempla como sujeto activo de determinados delitos a las personas jurídicas. La revelación o cesión de datos personales sin consentimiento, cuando se realiza con finalidades lucrativas o con conocimiento de su carácter ilícito, puede tener relevancia penal más allá de la vía administrativa.
El canal de denuncias – también conocido como canal ético o whistleblowing – constituye un elemento central del compliance penal empresarial. La normativa europea obliga a muchas organizaciones a implantar sistemas de denuncia interna que, paradójicamente, implican el tratamiento de datos personales especialmente sensibles: los relativos a las conductas y posibles infracciones de empleados y directivos. Una brecha de seguridad que afecte a ese canal de denuncias puede comprometer la confidencialidad de los denunciantes, con consecuencias jurídicas de especial gravedad.
En nuestra práctica hemos observado que los programas de compliance que integran tanto el eje de protección de datos como el eje de compliance penal generan sinergias evidentes. El registro de actividades de tratamiento, el protocolo de brechas y el modelo de compliance reducen tanto la sanción administrativa como la exposición en vía penal. Ambos marcos deben diseñarse de forma coherente y coordinada.
La gestión de una brecha de seguridad es, ante todo, una crisis de dirección. No basta con delegar la respuesta en el departamento técnico o en el DPD. La dirección debe tomar decisiones relevantes en un horizonte temporal muy estrecho.
La primera decisión es activar el protocolo de respuesta, si existe. Si no existe, debe improvisar uno, con el riesgo que eso conlleva. La segunda es determinar el alcance del incidente: qué datos se han visto comprometidos, cuántas personas se han visto afectadas y durante cuánto tiempo ha estado activa la brecha. La tercera es evaluar el riesgo y decidir si se notifica o no a la AEPD, y si se comunica o no a los afectados.
Junto a esas decisiones, la dirección debe adoptar medidas correctoras inmediatas para contener el incidente e impedir que se propague. Y debe hacerlo, si es posible, antes de que transcurran las 72 horas. El asesoramiento jurídico temprano permite organizar esas decisiones de forma coordinada, con criterio legal y con la documentación que será necesaria en cualquier actuación posterior de la AEPD.
Si quiere entender cómo le afecta una brecha en su organización, escríbanos a info@velardevidal.com.
El primer riesgo es el del retraso. Superar el plazo de 72 horas sin notificar, cuando la notificación era obligatoria, es una infracción autónoma que agrava la valoración del expediente. El segundo es la notificación incompleta o inexacta: proporcionar a la AEPD información errónea o que luego resulta inconsistente con la investigación interna puede interpretarse como falta de colaboración.
El tercer riesgo es la ausencia de documentación. La carga de demostrar que se han adoptado las medidas adecuadas recae sobre el responsable del tratamiento. Sin registros internos, sin análisis de riesgo documentados y sin evidencia de las medidas correctoras adoptadas, la empresa no puede probar su diligencia. El cuarto riesgo, menos evidente pero muy relevante, es gestionar la brecha como un problema exclusivamente técnico, sin implicar al área jurídica ni a la dirección.
Finalmente, muchas empresas cometen el error de comunicar externamente – a clientes, medios o proveedores – antes de haber notificado a la AEPD o de haber establecido la estrategia comunicativa con criterio jurídico. Esa secuencia desordenada puede comprometer la coherencia de la posición de la empresa y generar declaraciones que luego resulten problemáticas en un procedimiento sancionador o en una eventual demanda civil.
Para más contexto sobre la gestión del plazo crítico, puede consultar nuestro análisis específico sobre las 72 horas en el protocolo de brechas de seguridad.
La respuesta directa: antes de que se produzca el incidente. La implantación de un protocolo de brechas de seguridad, la revisión del registro de actividades de tratamiento y el diseño del modelo de respuesta ante incidentes son tareas que deben realizarse en fase preventiva, no reactiva.
Dicho esto, cuando ya se ha producido una brecha, el asesoramiento especializado debe activarse en las primeras horas. No al día siguiente, no tras la reunión del comité de dirección: en las primeras horas. El jurista especializado en protección de datos puede coordinar la evaluación del riesgo, asesorar sobre la obligación de notificar, preparar la documentación para la AEPD y establecer la estrategia de comunicación con los afectados y con terceros.
¿Cuándo es especialmente crítico contar con ese apoyo? Cuando los datos afectados son de categoría especial, cuando el número de afectados es elevado, cuando la brecha involucra a encargados del tratamiento externos, cuando existe riesgo de cobertura mediática o cuando hay indicios de que el incidente puede tener relevancia penal.
En todos esos supuestos, la coordinación entre la función jurídica y la función técnica es determinante. Hemos observado que las empresas que cuentan con un programa de adaptación al RGPD implementado antes del incidente gestionan las brechas con mayor eficacia, menor coste y menor exposición sancionadora. La diferencia no está en la gravedad del incidente, sino en la preparación previa.
El esquema de responsabilidad en la cadena de tratamiento es uno de los aspectos que más confusión genera. El responsable del tratamiento es quien determina los fines y medios del tratamiento; el encargado es quien trata los datos por cuenta del responsable. Cuando el encargado sufre una brecha, tiene la obligación de notificarlo al responsable sin dilación indebida. A partir de ese momento, el reloj de las 72 horas corre para el responsable.
Eso significa que una empresa que externaliza el tratamiento de datos de sus clientes – por ejemplo, a un proveedor de software en la nube, a una empresa de gestión de nóminas o a una plataforma de comunicaciones – no puede desligarse de sus obligaciones por el hecho de que el incidente haya ocurrido en la infraestructura del proveedor. La obligación de notificar a la AEPD y, si procede, a los interesados, es del responsable del tratamiento.
Por eso, los contratos con encargados del tratamiento deben incluir cláusulas específicas sobre la obligación de notificación inmediata al responsable, los procedimientos de respuesta ante incidentes, las medidas de seguridad exigidas y las consecuencias del incumplimiento. En nuestra práctica, la revisión de esos contratos revela con frecuencia ausencias importantes que solo se hacen visibles cuando se produce un incidente real.
Puede obtener más información sobre la gestión integral de la protección de datos en nuestra página de protección de datos y compliance.
Un programa de compliance en protección de datos no es un documento estático. Es un sistema de políticas, procedimientos, controles y registros que debe mantenerse actualizado y que debe estar integrado en la estructura operativa de la empresa. La gestión de brechas de seguridad es uno de sus elementos centrales, pero no el único.
El programa debe contemplar, como mínimo, el análisis de riesgo de los tratamientos, el registro de actividades, las medidas técnicas y organizativas aplicadas, la formación del personal, los contratos con encargados del tratamiento, los procedimientos de respuesta a derechos de los interesados y el protocolo de brechas. Cuando todos esos elementos están en vigor, la gestión de un incidente sigue un cauce ordenado y documentable.
La integración con el compliance penal añade una capa adicional: el modelo de organización y gestión previsto por la normativa penal debe incluir medidas de control que eviten o dificulten la comisión de delitos relacionados con datos personales. Ambos marcos comparten herramientas: el canal de denuncias, el mapa de riesgos, la formación y la supervisión interna son instrumentos comunes al compliance de datos y al compliance penal.
Si su empresa está evaluando la implantación de un programa de compliance integrado, puede consultar nuestros materiales sobre estructura y cumplimiento en el contexto de empresas de crecimiento como referencia de cómo planteamos el diseño de estos programas.
La gestión de brechas de seguridad intersecta con varias áreas de la práctica empresarial. El análisis de riesgo y la implantación del programa de cumplimiento requieren coordinación con el área de Derecho societario cuando afectan a la estructura de gobierno corporativo. La vertiente penal de las brechas conecta con el compliance penal y, en su caso, con la defensa en procedimientos sancionadores. En operaciones de fusiones y adquisiciones, la revisión del estado de cumplimiento en protección de datos forma parte habitual de la diligencia debida.
En Velarde & Vidal trabajamos estas cuestiones de forma coordinada, con el objetivo de que el programa de protección de datos de su empresa sea coherente con su estructura jurídica, su modelo de negocio y su exposición regulatoria.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.