Brecha de datos en tu empresa: qué hacer en las primeras 72 horas

Un correo con un enlace malicioso, un portátil olvidado en el tren, una hoja de clientes enviada al destinatario equivocado o un ransomware que bloquea el servidor. Para una pyme o un comercio del Corredor del Henares, cualquiera de estos sustos es algo más que un problema informático: si hay datos personales en juego, es una brecha de datos personales y el Reglamento General de Protección de Datos (RGPD) marca qué hay que hacer y en qué plazo.

La mayoría de las empresas descubre estas obligaciones en el peor momento, con el incidente ya encima. En este artículo te explicamos, de forma práctica, qué se considera una brecha, cuándo hay que avisar a la Agencia Española de Protección de Datos (AEPD) y a los afectados, y cómo prepararte para que las primeras 72 horas no se conviertan en un caos.

Qué es una brecha de datos personales (y por qué no solo afecta a las grandes empresas)

Una brecha es cualquier incidente de seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. No hace falta un ataque sofisticado: también lo es un error humano. Algunos ejemplos habituales en pymes:

• Enviar un correo masivo con todos los destinatarios a la vista en lugar de en copia oculta.
• Perder o sufrir el robo de un portátil, un móvil o un pendrive con datos de clientes o empleados.
• Un ransomware que cifra el servidor o el programa de gestión y deja la información inaccesible.
• Un acceso indebido a la cuenta de correo o a la tienda online por una contraseña débil o robada.
• Entregar documentación de un cliente a otra persona por error.

El tamaño de la empresa no exime: el RGPD se aplica a cualquier negocio que trate datos personales, desde una gestoría con diez empleados hasta una tienda con su base de datos de clientes.

El plazo de 72 horas: cuándo hay que notificar a la AEPD

El artículo 33 del RGPD obliga al responsable del tratamiento a notificar la brecha a la autoridad de control sin dilación indebida y, si es posible, en un plazo máximo de 72 horas desde que tenga constancia de ella. En España, la autoridad competente para la mayoría de empresas privadas es la AEPD, y la notificación se presenta a través del canal de brechas de su sede electrónica.

Conviene tener claros tres matices:

• No todas las brechas se notifican. No es obligatorio cuando sea improbable que el incidente suponga un riesgo para los derechos y libertades de las personas. La propia AEPD pone como ejemplo la pérdida de un dispositivo con los datos protegidos por un cifrado suficientemente robusto.
• Si se notifica fuera de plazo, hay que explicar los motivos del retraso. Y si en ese momento no se conoce toda la información, puede aportarse por fases.
• El contenido mínimo incluye la naturaleza de la brecha, las categorías y el número aproximado de personas y registros afectados, los datos de contacto del delegado de protección de datos o de otra persona de contacto, las posibles consecuencias y las medidas adoptadas o propuestas para solucionarla y mitigar sus efectos.

Para decidir si hay que notificar, la AEPD ofrece la herramienta gratuita Asesora Brecha, que orienta sobre si el suceso es realmente una brecha y si procede notificarlo. Es una ayuda, no sustituye la valoración que debe hacer la empresa.

Cuándo hay que avisar también a los afectados

Cuando la brecha pueda suponer un alto riesgo para las personas (por ejemplo, si se han filtrado datos bancarios, de salud, credenciales de acceso o documentos de identidad), el responsable debe comunicarlo también a los propios afectados sin dilación indebida, en un lenguaje claro y con recomendaciones para que puedan protegerse: cambiar contraseñas, vigilar movimientos bancarios, desconfiar de llamadas o correos sospechosos, etc.

Para valorar este paso, la AEPD dispone de la herramienta Comunica-Brecha RGPD, que indica si es necesario comunicar la brecha y genera un informe descargable con una plantilla para hacerlo.

Cómo prepararte antes de que ocurra: errores habituales y buenas prácticas

El error más frecuente no es sufrir un incidente, sino no tener nada preparado. Otro muy común es pensar que, si no se notifica, no hay que hacer nada más: según la AEPD, todas las brechas deben documentarse internamente, se notifiquen o no. Estas medidas marcan la diferencia:

• Protocolo de respuesta por escrito: quién detecta, a quién avisa, quién decide si se notifica y quién habla con la AEPD y con los afectados.
• Registro interno de brechas con los hechos, sus efectos y las medidas correctivas adoptadas.
• Cifrado de portátiles y móviles, copias de seguridad periódicas y desconectadas, y doble factor de autenticación en correo y aplicaciones clave.
• Contratos de encargado del tratamiento revisados con tus proveedores (gestoría, informático, alojamiento web, software en la nube), para que te avisen sin demora si el incidente ocurre en su lado.
• Formación del equipo: la mayoría de incidentes empiezan con un clic en un correo fraudulento o un descuido. Un curso de ciberseguridad en el trabajo puede bonificarse con el crédito de formación de la empresa.

Tener todo esto en orden no solo reduce el riesgo de sanción; también permite reaccionar con calma, proteger a tus clientes y conservar su confianza.

Información general actualizada a octubre de 2026. No sustituye al asesoramiento jurídico ni a la consulta del texto normativo vigente.