Una brecha de seguridad de datos personales es cualquier incidente que provoca la pérdida, destrucción, alteración o el acceso no autorizado a datos personales. Si supone un riesgo para las personas, hay que notificarla a la AEPD en 72 horas desde que la conoces (art. 33 RGPD); si el riesgo es alto, también a los afectados (art. 34). Todas, notificadas o no, se apuntan en un registro interno.
Una brecha de seguridad de datos personales es cualquier incidente de seguridad que provoca la destrucción, pérdida o alteración de datos personales, o que alguien los vea o los reciba sin estar autorizado (art. 4.12 RGPD). No hace falta un ataque informático: un correo enviado a la persona equivocada también lo es. Si la brecha supone un riesgo para las personas, tienes que notificarla a la AEPD en un máximo de 72 horas desde que la conoces. Y siempre, la notifiques o no, tienes que dejarla documentada.
Ejemplos de brechas en una pyme
Las brechas más habituales en negocios pequeños no son sofisticadas:
- Correo masivo con todos los destinatarios a la vista. Una academia escribe a 200 familias poniendo las direcciones en «Para» en lugar de «CCO». Todos ven el correo de todos.
- Documento enviado a quien no era. Una gestoría manda la nómina de un trabajador a otro cliente.
- Portátil o móvil robado con la agenda de clientes, sin contraseña ni cifrado.
- Ransomware. Un programa malicioso cifra el servidor de una clínica y pide un rescate. Los datos no están disponibles y no sabes si se los han llevado.
- Papel extraviado. Una carpeta con historias clínicas olvidada en un taxi, o documentos tirados a la basura sin destruir.
- Acceso indebido. Un empleado consulta la ficha de un vecino sin motivo laboral, o una web con un formulario que deja ver los datos de otros usuarios.
- Correo hackeado. Entran en el buzón de la empresa y envían facturas falsas a los clientes desde él.
La AEPD las clasifica según lo que se ha visto afectado: la confidencialidad (alguien no autorizado ha accedido), la integridad (los datos se han alterado) o la disponibilidad (no puedes acceder a ellos, aunque sea temporalmente). Un ransomware puede afectar a las tres.
¿Tengo que notificarla a la AEPD?
Depende del riesgo para las personas, no del tamaño del incidente. El artículo 33 del RGPD obliga a notificar a la AEPD salvo que sea improbable que la brecha suponga un riesgo para sus derechos y libertades.
| Riesgo para las personas | Notificar a la AEPD | Comunicar a los afectados | Registro interno |
|---|---|---|---|
| Improbable | No | No | Sí |
| Riesgo | Sí, en 72 horas | No es obligatorio | Sí |
| Alto riesgo | Sí, en 72 horas | Sí, sin dilación indebida | Sí |
Para valorar el riesgo, piensa en qué datos son (no es lo mismo un correo electrónico que un diagnóstico o una cuenta bancaria), cuántas personas, si se pueden identificar, si son vulnerables y qué daño les puede causar: fraude, suplantación, discriminación, daño a la reputación. Un portátil robado con el disco cifrado y una contraseña fuerte, por ejemplo, tiene un riesgo mucho menor que uno sin protección.
La AEPD tiene dos herramientas gratuitas que ayudan a decidir: Asesora Brecha, para saber si hay que notificar a la Agencia, y Comunica-Brecha RGPD, para decidir si hay que comunicarlo a los afectados. Comunica-Brecha no guarda los datos que introduces y te deja descargar un informe. Ninguna de las dos decide por ti: la decisión sigue siendo del responsable.
El plazo de 72 horas: cómo se cuenta
- Empieza cuando tienes constancia de que el incidente ha afectado a datos personales, no cuando ocurrió.
- Según la AEPD, cuenta también las horas de fines de semana y festivos.
- Si a las 72 horas no lo sabes todo, puedes hacer una notificación «inicial» con lo que tengas y completarla después. La guía de la AEPD da 30 días hábiles para completarla.
- Si notificas tarde, tienes que explicar los motivos del retraso.
Se notifica con el formulario de brechas de la sede electrónica de la AEPD, con certificado electrónico. La notificación debe describir qué ha pasado, cuántas personas y registros aproximadamente, un contacto (el delegado de protección de datos, si lo tienes), las consecuencias probables y las medidas que has tomado o vas a tomar (art. 33.3).
¿Cuándo hay que avisar a los afectados?
Cuando la brecha probablemente supone un alto riesgo para ellos (art. 34 RGPD). Hay que comunicárselo sin dilación indebida, en lenguaje claro: qué ha pasado, un contacto, las consecuencias probables y lo que has hecho. Añade consejos útiles: cambiar la contraseña, vigilar cargos en el banco o desconfiar de correos que pidan datos.
No hace falta comunicarlo si los datos estaban protegidos de forma que nadie no autorizado pueda entenderlos (por ejemplo, cifrados), si has tomado después medidas que eliminan ese alto riesgo, o si avisar uno a uno supone un esfuerzo desproporcionado; en ese último caso se hace una comunicación pública. La AEPD puede exigirte que avises si no lo has hecho.
El registro interno de brechas
El artículo 33.5 obliga a documentar todas las brechas, también las que no notificas. Un simple documento o una hoja de cálculo sirven, siempre que recojan:
- Fecha en que ocurrió y fecha en que lo supiste.
- Qué pasó y qué datos y personas se vieron afectados.
- Qué efectos tuvo o pudo tener.
- Qué decidiste (notificar o no, avisar o no) y por qué.
- Qué medidas tomaste para corregirlo y para que no se repita.
Si la AEPD investiga, este registro es lo que demuestra que actuaste bien. Una brecha bien gestionada y documentada pesa mucho menos que una escondida.
Qué dice la ley si no lo haces
La LOPDGDD califica como infracción grave no notificar una brecha a la AEPD cuando era obligatorio (art. 73.r) y no avisar a los afectados cuando la AEPD te lo ha requerido (art. 73.s). También es grave que un encargado no avise al responsable (art. 73.q). Notificar de forma incompleta, tarde o defectuosa es leve (art. 74.m). Las cuantías, en la guía de multas. Pero la sanción más habitual no es por notificar: es por no haber tenido medidas de seguridad adecuadas antes.
Qué hacer si te pasa: los pasos
- Contén el incidente. Cambia contraseñas, desconecta el equipo infectado de la red, pide al destinatario equivocado que borre el correo y te lo confirme por escrito, bloquea el móvil robado a distancia.
- Apunta la hora en que lo has sabido. Desde ahí cuentan las 72 horas.
- Averigua el alcance: qué datos, cuántas personas, si hay copias de seguridad.
- Valora el riesgo con ayuda de Asesora Brecha y Comunica-Brecha RGPD.
- Notifica a la AEPD si hay riesgo, aunque sea con una notificación inicial.
- Avisa a los afectados si el riesgo es alto.
- Denuncia ante la policía si hay un delito (robo, ransomware, suplantación).
- Regístralo en el registro de brechas, con lo que decidiste y por qué.
- Corrige la causa: CCO por defecto, cifrado de portátiles, copias de seguridad desconectadas, formación al personal.
Para esta semana, antes de que pase
- Cifra los portátiles y móviles de trabajo y activa el bloqueo con contraseña.
- Comprueba que tienes copia de seguridad y que se puede restaurar.
- Activa la verificación en dos pasos en el correo.
- Enseña a tu equipo a usar CCO y a avisar de inmediato si algo va mal. El protocolo para empleados sirve para eso.
En Adapta RGPD el análisis de riesgos y las medidas de seguridad forman parte de la documentación de todos los planes, y si te pasa algo nos puedes consultar: las consultas y la asistencia ante la AEPD están incluidas.
Preguntas frecuentes
¿Enviar un correo con los destinatarios a la vista es una brecha de seguridad?
Sí. Es una brecha de confidencialidad, porque cada destinatario ve las direcciones de los demás. Si el riesgo es bajo (por ejemplo, pocos destinatarios y sin datos delicados) puede bastar con registrarla internamente, pero si el correo revela algo sensible, como que todos son pacientes de una clínica, el riesgo aumenta y conviene notificarla.
¿Las 72 horas son laborables?
No. Según la AEPD, el plazo de 72 horas cuenta también fines de semana y festivos, y empieza cuando tienes constancia de que el incidente ha afectado a datos personales.
¿Qué hago si no tengo toda la información en 72 horas?
Notifica a la AEPD con lo que sepas como notificación inicial y complétala después. La guía de la AEPD da 30 días hábiles para completarla. Si notificas pasadas las 72 horas, explica los motivos del retraso.
¿Tengo que notificar un ransomware si tenía copia de seguridad?
Depende del riesgo. Aunque recuperes los datos, hay que valorar si los atacantes pudieron llevárselos y cuánto tiempo estuvieron inaccesibles. Si no puedes descartar el riesgo, notifica. En cualquier caso, apúntalo en el registro interno de brechas.
