Brecha de datos personales: qué hacer en las primeras 72 horas

Para quién es esta guía: responsables de pymes, equipos de IT y delegados de protección de datos (DPO) que necesitan saber qué hacer ahora mismo. Si su organización solo actúa como encargado del tratamiento, su obligación principal es avisar a su cliente sin dilación indebida (punto 2).

1 · Detectar

¿Es esto una brecha de datos?

El RGPD define la violación de la seguridad de los datos personales, que en la práctica se llama brecha de datos personales, como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos (art. 4, punto 12). No hace falta ningún pirata informático. El CEPD clasifica las brechas en tres tipos (Directrices 9/2022, apartado 17):

• Confidencialidad: alguien vio lo que no debía. Un correo a la persona equivocada, una carpeta compartida con el enlace abierto, un portátil robado.
• Integridad: los datos se modificaron sin autorización. Por ejemplo, la cuenta bancaria de un proveedor cambiada en un fraude de pagos.
• Disponibilidad: los datos dejaron de estar accesibles, aunque sea temporalmente. Un ransomware o un archivo borrado sin copia de seguridad. Un mantenimiento programado no cuenta (apartado 21).

Un correo enviado a la persona equivocada es una brecha de confidencialidad. Los datos se comunicaron a alguien sin derecho a verlos, aunque esa persona no tenga malas intenciones.

2 · El reloj

Cuándo empiezan a contar las 72 horas

El plazo cuenta desde el momento en que la organización tiene conocimiento de la brecha. Para el CEPD, eso ocurre cuando tiene «un grado razonable de certeza» de que se ha producido un incidente de seguridad que ha afectado a datos personales (Directrices 9/2022, apartado 31).

En la práctica hay dos situaciones. Cuando el error es evidente, como un correo enviado, el conocimiento es inmediato. Cuando solo hay una señal de alarma, como un aviso del antivirus, puede hacer una investigación breve para confirmarlo. Esa investigación tiene que empezar enseguida y no puede servir para ganar tiempo.

El fin de semana cuenta. El Reglamento 1182/71, que fija las reglas de los plazos en el derecho de la UE, establece que los plazos incluyen los festivos, los domingos y los sábados, salvo que se expresen en días hábiles (art. 3, apartado 3). El plazo del RGPD es en horas. Si Rui se enteró a las 17:40 del viernes, el plazo termina, como muy tarde, a las 17:40 del lunes.

Si es encargado del tratamiento (por ejemplo, una empresa de informática o una plataforma de email marketing), tiene que avisar a su cliente, el responsable del tratamiento, sin dilación indebida (art. 33, apartado 2). A partir de ese aviso, el reloj de su cliente está en marcha (Directrices 9/2022, apartado 44). Por eso los contratos de encargo deben fijar un plazo corto para ese aviso.

Plantilla gratuita: el Kit de respuesta a brechas de datos convierte esta guía en una hoja de cálculo lista para usar.

3 · El plan

Las 72 horas, hora a hora

Esta división no está en la ley. Es una forma práctica de asegurarse de que, cuando llegue el momento de decidir, ya tiene la información que necesita.

4 · La decisión

El riesgo en tres niveles

La pregunta no es «¿qué gravedad tiene para la empresa?». Es «¿qué les puede pasar a las personas cuyos datos se han visto afectados?». El CEPD pide que se valoren el tipo de brecha, la naturaleza, sensibilidad y volumen de los datos, la facilidad para identificar a las personas, la gravedad de las consecuencias, las características especiales de las personas (menores, por ejemplo) o del responsable, y el número de personas afectadas (Directrices 9/2022, apartados 105 a 118).

¿Quiere ponerle números? El CEPD señala como útil el método de ENISA, la Agencia de la Unión Europea para la Ciberseguridad (Directrices 9/2022, apartado 120). Calcula la gravedad con la fórmula SE = DPC × EI + CB. DPC puntúa el tipo de datos de 1 a 4, EI es la facilidad para identificar a las personas (de 0,25 a 1) y CB suma puntos por las circunstancias, como la comunicación a destinatarios desconocidos o la intención maliciosa. Un resultado por debajo de 2 indica gravedad baja; de 2 a 3, media; de 3 a 4, alta; y de 4 en adelante, muy alta (ENISA, 2013). La puntuación ayuda a justificar la decisión, pero no la toma por usted.

5 · Casos

Cómo decide el CEPD casos parecidos

Las Directrices 01/2021 del CEPD analizan 18 casos prácticos. Hemos elegido los que más se dan en una pyme. Resumimos los hechos; el veredicto es del CEPD.

Fíjese en el patrón. El cifrado y las copias de seguridad cambian el resultado. El mismo error, como un correo a la persona equivocada, puede ir de «solo registrar» a «notificar y avisar» según el volumen, la sensibilidad de los datos y la posibilidad de asegurar el borrado.

6 · Notificar

Qué incluir en la notificación

Cada autoridad tiene su formulario. En España se notifica a la AEPD por su sede electrónica, y la AEPD publica una guía para la notificación de brechas; en Portugal se usa el formulario de la CNPD (la autoridad portuguesa de protección de datos). Sea cual sea el formulario, el RGPD exige como mínimo cuatro elementos (art. 33, apartado 3). Tenga estas respuestas preparadas antes de abrirlo:

1. Qué pasó. La naturaleza de la brecha, las categorías y el número aproximado de personas y de registros afectados. Ejemplo: «Envío por error, por correo electrónico, de un archivo con nombre, dirección, teléfono e historial de pedidos de unos 300 clientes a un contacto externo».
2. A quién contactar. Nombre y datos de contacto del DPO o de otro punto de contacto. Ejemplo: «Inês [apellido], DPO, [correo], [teléfono]».
3. Consecuencias probables. Qué les puede pasar a las personas. Ejemplo: «Riesgo de contactos fraudulentos que se hagan pasar por la empresa. No hay datos de pago afectados».
4. Medidas adoptadas o propuestas. Para poner remedio a la brecha y mitigar sus efectos. Ejemplo: «Petición de borrado a la destinataria, con confirmación prevista el primer día hábil; revisión de las normas para enviar archivos con datos de clientes».

¿Todavía no lo sabe todo? Envíe lo que sabe dentro del plazo y complételo después. La ley permite facilitar la información de manera gradual, sin más dilación indebida (art. 33, apartado 4; Directrices 9/2022, apartado 56). Si notifica después de las 72 horas, tiene que indicar los motivos del retraso (art. 33, apartado 1).

7 · Avisar a las personas

Cuándo y cómo avisar a las personas afectadas

Cuando el riesgo es alto, tiene que avisar a las personas afectadas sin dilación indebida (art. 34, apartado 1). El mensaje debe usar un lenguaje claro y sencillo, describir la naturaleza de la brecha e incluir los elementos 2, 3 y 4 de la notificación (art. 34, apartado 2). Añada lo que la persona puede hacer: desconfiar de llamadas que pidan datos, cambiar la contraseña, vigilar los movimientos de su cuenta bancaria. Si, después del aviso, alguien pide saber qué datos suyos se vieron afectados, trátelo como una solicitud de acceso, con su plazo de un mes.

No hace falta avisar a cada persona en tres situaciones (art. 34, apartado 3):

• los datos estaban protegidos de forma que resultan ininteligibles para quien no esté autorizado a verlos, por ejemplo con un cifrado robusto;
• ha tomado después medidas que garantizan que ya no es probable que se materialice el alto riesgo;
• avisar a cada persona supondría un esfuerzo desproporcionado. En ese caso, hace una comunicación pública u otra medida igual de eficaz.

Aunque no sea obligatorio, avisar puede ser lo correcto cuando la ayuda de las personas reduce el riesgo. En el caso 13 de las Directrices 01/2021, sobre dos pedidos enviados a los clientes equivocados, el CEPD concluyó que contactar con ambos clientes era inevitable para resolver el problema.

Caso práctico

Un correo equivocado, de principio a fin

Cómo se aplican los pasos de esta guía a un caso concreto, del viernes por la tarde al lunes por la mañana.

8 · Lo que ven las autoridades

La mayoría de las brechas no empieza con un ataque

En 2025, la CNPD, la autoridad portuguesa de protección de datos, abrió 472 expedientes de brechas, un 42 % más que los 332 de 2024. En 390 estaba afectada la confidencialidad. Estas fueron las causas más declaradas por las organizaciones:

Fuente: CNPD, Informe de actividades 2025 (en portugués), pp. 35 y 36. La propia CNPD advierte de que las causas son las que declaran las organizaciones y que pueden quedarse cortas.

La lección para una pyme es sencilla. Su incidente más probable no es un ataque sofisticado. Es alguien que envía el archivo equivocado, hace clic en un enlace falso o comparte una carpeta con quien no debía. Ahí debe empezar la preparación.

9 · Ciberseguridad

Si su organización también está sujeta a la NIS2

Las entidades esenciales e importantes según la Directiva NIS2 tienen un circuito propio para notificar los incidentes de ciberseguridad significativos: una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final en un mes (Directiva (UE) 2022/2555, art. 23).

Un ransomware puede obligar a las dos notificaciones, una a la autoridad de protección de datos y otra a la de ciberseguridad. Son obligaciones distintas, con contenidos distintos. Lleve un único registro del incidente que sirva para ambas y compruebe con la autoridad nacional de ciberseguridad de su país si su organización está incluida.

Lo que puede cambiar · actualizado el 21 oct 2026

Una propuesta de la UE quiere simplificar estas normas

El 19 de noviembre de 2025, la Comisión Europea presentó la propuesta Digital Omnibus, COM(2025) 837, que modifica el RGPD. En las brechas de datos, propone:

• notificar a la autoridad solo cuando sea probable que la brecha entrañe un alto riesgo, el mismo umbral que hoy se aplica para avisar a las personas;
• ampliar el plazo de 72 a 96 horas;
• un punto único de entrada en la UE para las notificaciones y un modelo común preparado por el CEPD.

En qué punto está: en el Parlamento Europeo, las comisiones ITRE y LIBE todavía no han votado su informe. En el Consejo, los embajadores de los Estados miembros debatían el mandato de negociación en octubre de 2026. Después llegan las negociaciones entre las instituciones y la publicación en el Diario Oficial.

Qué hacer hoy: aplicar las normas actuales. Hasta que se publique un texto final, siguen vigentes las 72 horas y el umbral de «riesgo». Y el registro interno de todas las brechas se mantiene en todas las versiones en discusión.

La misma propuesta cambia también el derecho de acceso. Explicamos los dos cambios en el artículo sobre el Digital Omnibus.

Fuentes: Parlamento Europeo, procedimiento 2025/0360(COD); Consejo, orden del día del Coreper de 21 oct 2026; Dictamen conjunto CEPD-SEPD 2/2026.

10 · Antes de que pase

Prepárese en una hora, hoy

La Oficina Rocha cumplió el plazo porque Rui sabía a quién llamar. Las autoridades esperan que cada responsable tenga un procedimiento interno para detectar y gestionar incidentes. No hace falta un manual de 40 páginas. Empiece por una tarjeta colgada junto a la máquina de café y por un registro de brechas con cuatro columnas: los hechos, los efectos, las medidas adoptadas y la decisión sobre la notificación, con los motivos (art. 33, apartado 5). También ayuda saber de antemano qué datos tiene y dónde están: es lo que dice su registro de actividades de tratamiento, y es lo primero que abrirá cuando evalúe una brecha.

Tarjeta de brechas de datos (para colgar)

1. ¿Ha parado el daño? Correo recuperado, equipo desconectado de la red, contraseñas cambiadas.
2. Llame a [nombre y teléfono] y al DPO [nombre y teléfono].
3. Anote la hora en que se enteró. Las 72 horas empiezan ahí e incluyen el fin de semana.
4. No borre nada: correos, registros del sistema, mensajes.
5. Registro de brechas: [dónde está].

Checklist

Antes de cerrar el incidente

• He anotado la hora exacta en que tuvimos conocimiento.
• He contenido la brecha y guardado las pruebas.
• He identificado los datos, las personas afectadas y cuántas son, aproximadamente.
• He evaluado el riesgo con los criterios del CEPD y he anotado los motivos.
• Si había riesgo, he notificado a la autoridad en 72 horas, o he explicado el retraso.
• Si el riesgo era alto, he avisado a las personas en lenguaje claro, o he documentado la excepción.
• Si notifiqué por fases, he enviado la información que faltaba.
• He comprobado si también se aplica la NIS2.
• He actualizado el registro de brechas.
• He decidido qué cambia para que no vuelva a pasar.

Dudas habituales

Preguntas frecuentes

¿Las 72 horas cuentan el fin de semana y los festivos?

Sí. El plazo se cuenta en horas seguidas e incluye sábados, domingos y festivos (Reglamento 1182/71, art. 3, apartado 3). Si se enteró a las 17:40 del viernes, tiene hasta las 17:40 del lunes para notificar a la autoridad de control.

He enviado datos personales por correo a la persona equivocada. ¿Tengo que notificar?

Depende del riesgo, pero siempre tiene que registrarlo. Una lista corta, con datos poco sensibles y un destinatario que confirma enseguida que los ha borrado, puede quedarse solo en el registro interno (caso 15 de las Directrices 01/2021). Muchos datos, datos sensibles o ninguna garantía de borrado llevan a notificar a la autoridad y, si el riesgo es alto, a avisar a las personas afectadas (caso 14).

¿Y si pasadas las 72 horas todavía no lo sé todo?

Notifique igualmente, con lo que ya sabe. El RGPD permite facilitar la información por fases, sin más dilación indebida (art. 33, apartado 4). Esperar a tener un informe completo es la forma más habitual de incumplir el plazo.

¿Una brecha sin riesgo también hay que registrarla?

Sí. Toda brecha de datos personales va al registro interno, con los hechos, los efectos, las medidas adoptadas y la decisión de no notificar, con los motivos (art. 33, apartado 5). La autoridad de control puede pedir ese registro para comprobar el cumplimiento.

¿Quién notifica a la autoridad cuando la brecha se produce en un proveedor?

El responsable del tratamiento, es decir, el cliente del proveedor. El encargado tiene que avisar al responsable sin dilación indebida (art. 33, apartado 2), y las 72 horas del responsable cuentan desde ese aviso. Si es DPO de varias organizaciones, acuerde con cada una quién avisa a quién y en cuánto tiempo: la guía para DPO externos con varios clientes explica cómo hacer el triaje cuando todo llega a la vez.

Solo fuentes oficiales

Fuentes

Legislación de la UE

• Reglamento (UE) 2016/679 (RGPD), artículos 4, 33 y 34 (EUR-Lex)
• Reglamento (CEE, Euratom) 1182/71, normas aplicables a los plazos, art. 3 (EUR-Lex)
• Directiva (UE) 2022/2555 (NIS2), art. 23 (EUR-Lex)

CEPD y ENISA

• Directrices 9/2022 sobre la notificación de brechas de datos personales, versión 2.0
• Directrices 01/2021, ejemplos de notificación de brechas (en inglés)
• CEPD, resumen sobre brechas de datos («at a glance») (en inglés)
• ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches (2013) (en inglés)
• Dictamen conjunto CEPD-SEPD 2/2026 sobre el Digital Omnibus (en inglés)

Autoridades de control

• AEPD, Guía para la notificación de brechas de datos personales y canal para notificar brechas a la AEPD
• CNPD (Portugal), brechas de datos (en portugués)
• CNPD, Informe de actividades 2025 (en portugués)

Propuestas en curso

• COM(2025) 837, propuesta Digital Omnibus
• Parlamento Europeo, procedimiento 2025/0360(COD)
• Consejo de la UE, orden del día del Coreper, 21 oct 2026

Última revisión: 21 de octubre de 2026. Esta guía es información general y no constituye asesoramiento jurídico sobre ningún caso concreto. Si se enfrenta a una brecha real, hable con su DPO o con un abogado. Las personas y la empresa de las escenas son ficticias.