Brechas de seguridad: Protocolo paso a paso para notificar a la AEPD en 72h

En la era de la digitalización, la gestión de la información se ha convertido en un pilar fundamental para cualquier organización. Sin embargo, este entorno de interconexión constante también expone a las empresas a una amenaza creciente: los incidentes de seguridad. En este contexto, la distinción entre un incidente de seguridad común y una brecha de seguridad de datos personales es crucial. Mientras que un incidente, como un intento de ciberataque sin éxito o la detección de malware no ejecutado, puede ser gestionado internamente sin mayores consecuencias para los derechos de las personas, una brecha de seguridad se define de manera más amplia y con implicaciones legales directas.   

Una brecha de seguridad de datos personales es cualquier incidente que ocasione la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales, ya sea de forma accidental o ilícita. Esto incluye situaciones tan diversas como el robo de un portátil, el envío de un correo electrónico a un destinatario incorrecto, o un ataque de ransomware que cifra los datos de los clientes. La clave reside en si el incidente afecta a la confidencialidad, integridad o disponibilidad de la información personal.   

El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establecen un marco legal claro que obliga a las organizaciones a actuar con diligencia. Este marco se basa en el principio de responsabilidad proactiva , que no solo exige reaccionar ante una brecha, sino también estar preparados para ella, tener un plan de respuesta predefinido y documentar todas las acciones tomadas. No contar con un protocolo de respuesta puede resultar en graves sanciones económicas y un daño irreparable a la reputación de la empresa.   

Capítulo I: El fundamento jurídico de la notificación (Artículos 33 y 34 RGPD)

La normativa europea de protección de datos establece dos obligaciones principales, pero distintas, en caso de una brecha de seguridad, que dependen del nivel de riesgo que la misma suponga para las personas físicas.

Notificación a la Autoridad de Control (Art. 33 RGPD)

El artículo 33 del RGPD establece la obligación del responsable del tratamiento de datos de notificar a la autoridad de control competente (en España, la Agencia Española de Protección de Datos o AEPD) cualquier brecha de seguridad cuando «sea probable que la brecha constituya un riesgo para los derechos y libertades de las personas». El plazo para esta notificación es estricto:   

Sin dilación indebida y, en todo caso, en un plazo máximo de 72 horas desde que el responsable «tenga constancia de ella».   

El concepto de «tener constancia» no debe confundirse con la posesión de todos los detalles del incidente. El plazo de 72 horas comienza a correr en el momento en que se adquiere una certeza razonable de que se ha producido una violación de seguridad que afecta a datos personales. La AEPD ha desarrollado un formulario electrónico en su Sede Electrónica para facilitar este proceso y permite una notificación por fases. Esto significa que se puede realizar una notificación inicial dentro del plazo de 72 horas con la información disponible, y completarla posteriormente con datos adicionales que se vayan recabando, con un plazo máximo de 30 días para ello. Esta flexibilidad subraya que la Agencia prioriza la rapidez de la información sobre su exhaustividad en el primer paso, reconociendo la dificultad de tener un cuadro completo del incidente en tan poco tiempo.   

Comunicación a los interesados (Art. 34 RGPD)

La segunda obligación, recogida en el artículo 34 del RGPD, es independiente de la anterior y solo se activa cuando la brecha «entrañe un alto riesgo para los derechos y libertades de las personas físicas». Esta comunicación a los afectados debe realizarse «sin dilación indebida». A diferencia del artículo 33, el RGPD no fija un plazo de tiempo específico para esta comunicación, pero cualquier retraso debe justificarse, lo que enfatiza el principio de diligencia y la necesidad de mitigar el riesgo para las personas afectadas de la forma más rápida posible.   

Esta distinción entre «riesgo» (Art. 33) y «alto riesgo» (Art. 34) es la verdadera espina dorsal de cualquier protocolo de respuesta. No todos los incidentes requieren notificación a la AEPD o a los afectados. A menudo, las organizaciones deben clasificar la gravedad de la situación en tres niveles de respuesta:

1. Riesgo bajo: No se notifica ni a la AEPD ni a los afectados, pero se debe documentar internamente el incidente y las medidas tomadas.
2. Riesgo probable: Se notifica a la AEPD en 72 horas.
3. Riesgo alto: Se notifica a la AEPD en 72 horas y, además, se comunica a los interesados sin dilación indebida.

Esta lógica de respuesta escalonada es un elemento crítico para asegurar el cumplimiento normativo.

Capítulo II: Protocolo de respuesta: Del caos a la contención

Contar con un protocolo de respuesta predefinido es una obligación derivada del principio de responsabilidad proactiva. Un plan de gestión de incidentes de seguridad no solo es una exigencia legal, sino una herramienta esencial para actuar con rapidez, minimizar daños y demostrar la debida diligencia ante las autoridades de control. El protocolo se puede dividir en cuatro fases clave.   

Fase 1: Preparación proactiva (ANTES del incidente)

Antes de que se produzca una brecha, la organización debe estar preparada. Esto implica la implementación de medidas de seguridad tanto técnicas como organizativas para garantizar la confidencialidad, integridad y disponibilidad de los datos. Entre estas medidas se incluyen la seudonimización y el cifrado de datos, la resiliencia de los sistemas, y la capacidad para restaurar la información rápidamente en caso de un incidente físico o técnico.   

La preparación también abarca la elaboración de un plan de respuesta a incidentes que establezca quién y qué acciones se ejecutarán en caso de una brecha. Este plan debe ser puesto a prueba mediante simulacros y ejercicios periódicos para evaluar la capacidad de respuesta del equipo y la efectividad del protocolo en un entorno controlado.   

Fase 2: Detección y evaluación (INMEDIATAMENTE después)

El primer paso tras un incidente es su detección, que se logra mediante sistemas de monitoreo y alertas proactivas. Una vez detectado, el responsable debe iniciar un proceso de evaluación para determinar si se trata de una brecha de datos personales y el nivel de riesgo que supone para los derechos y libertades de los afectados.   

Los factores clave para esta evaluación son: el tipo de brecha ocurrida (accidental o intencional), la naturaleza y el carácter sensible de los datos afectados (ej. datos de salud vs. un correo electrónico), el volumen de personas y registros comprometidos, y la gravedad de las consecuencias potenciales (ej. usurpación de identidad, pérdidas financieras). Esta valoración inicial es vital, ya que es la que determinará si se debe proceder con la notificación a la AEPD y, en su caso, la comunicación a los afectados.   

Fase 3: Contención y mitigación

El objetivo inmediato después de la detección es la contención del incidente para evitar una mayor propagación o daño. Las acciones a corto plazo incluyen el aislamiento de los sistemas comprometidos, el cambio de contraseñas y la revocación de accesos sospechosos.   

Una vez contenido el incidente, la organización debe enfocarse en la mitigación y recuperación. Esto implica restaurar las operaciones y la integridad de los sistemas, a menudo utilizando copias de seguridad probadas. Es crucial, antes de apagar servidores o borrar evidencias, realizar una copia forense si es necesario para poder llevar a cabo una investigación posterior.   

Fase 4: La notificación formal a la AEPD

La notificación a la AEPD es una obligación que recae sobre el responsable del tratamiento. Si la brecha se produce en un tratamiento gestionado por un encargado, este debe informar al responsable sin dilación indebida, quien a su vez evaluará la necesidad de notificar a la autoridad y a los afectados.   

La notificación se realiza a través del formulario electrónico de la AEPD. Este formulario requiere un conjunto detallado de información, tal como se resume en la siguiente tabla, que abarca desde los datos del responsable y del Delegado de Protección de Datos (DPD) hasta un resumen de la brecha y las medidas correctivas adoptadas.   

Tabla 1: Checklist de información para la notificación a la AEPD.

El formulario también permite la notificación incompleta, lo que es fundamental para cumplir con el plazo de 72 horas. La información restante debe ser proporcionada en un plazo máximo de 30 días.   

Capítulo III: La doble obligación: Notificación vs. comunicación (Art. 33 vs. 34)

La diferencia entre la notificación a la AEPD y la comunicación a los afectados radica en la valoración del riesgo. Mientras que una brecha que suponga un «riesgo» probable para los derechos de los interesados debe ser notificada a la AEPD, una que suponga un «alto riesgo» para sus derechos y libertades también debe ser comunicada directamente a los afectados.   

Un «alto riesgo» para los interesados se materializa en situaciones que pueden generar perjuicios significativos, como la usurpación de identidad, la discriminación, pérdidas financieras, daños reputacionales o la pérdida de control sobre los datos personales. El riesgo se considera bajo si los datos han sido cifrados de forma robusta y la clave de cifrado no ha sido comprometida.   

La comunicación a los interesados no solo es una obligación legal, sino también una herramienta clave de gestión de la reputación. La información proporcionada debe ser clara, sencilla y concisa, evitando tecnicismos. Debe incluir la naturaleza de la brecha, los datos de contacto del DPD, las posibles consecuencias y, lo más importante, las medidas de mitigación que la organización ha tomado y las recomendaciones para que los propios afectados se protejan (ej. cambiar contraseñas, estar atentos a actividades sospechosas en sus cuentas bancarias).   

Una comunicación transparente y honesta puede mitigar la pérdida de confianza por parte de los clientes. Por el contrario, una comunicación deficiente, que omite la existencia de la brecha o no incluye la información exigida por el RGPD, puede ser motivo de sanciones adicionales, como se ha visto en casos recientes.   

Capítulo IV: El rol central del delegado de protección de datos (DPD)

En el proceso de gestión de una brecha de seguridad, el Delegado de Protección de Datos (DPD) desempeña un papel central y multifuncional. Su figura no es la de un mero consultor, sino la de un socio estratégico que garantiza la supervisión del cumplimiento normativo y actúa como punto de enlace entre la organización, los interesados y la autoridad de control.   

Las funciones del DPD en caso de una brecha incluyen:

• Asesoramiento: El DPD asesora al responsable y al encargado del tratamiento sobre sus obligaciones y responsabilidades con relación al incidente.   
• Supervisión y Liderazgo: Lidera la respuesta al incidente, supervisando la aplicación del plan de gestión de brechas, la evaluación de riesgos y la toma de decisiones.   
• Punto de Contacto: Actúa como punto de contacto y de cooperación con la AEPD en lo relativo a la brecha, facilitando la comunicación y la entrega de la documentación requerida.   
• Monitoreo y Auditoría: Su rol abarca la revisión continua de los procesos internos y la realización de auditorías para asegurar que las medidas de seguridad adoptadas sean efectivas y que la organización se adapte a las nuevas amenazas.   

El DPD debe operar con independencia y tener la autoridad necesaria para tomar decisiones y asesorar a la alta dirección. La AEPD valora el enfoque proactivo de las organizaciones y ha sancionado a empresas que no han demostrado tener un marco de seguridad adecuado al riesgo, enfocándose solo en los riesgos de la organización y no en los derechos de los afectados. Por ello, la presencia de un DPD competente y activo es un factor que puede mitigar el riesgo de sanción, ya que demuestra la debida diligencia de la empresa ante una brecha de seguridad.   

Capítulo V: Sanciones y casos reales: El alto coste de la inacción

El incumplimiento de las obligaciones derivadas de los artículos 33 y 34 del RGPD puede acarrear sanciones económicas muy elevadas, que pueden alcanzar los 20 millones de euros o el 4% de la facturación anual global de la empresa. La AEPD ha impuesto multas millonarias en casos en los que se ha demostrado una falta de medidas de seguridad, una notificación tardía o una comunicación deficiente a los afectados.   

Los casos reales ilustran la seriedad con la que la AEPD aborda estos incumplimientos. A menudo, una misma brecha puede dar lugar a sanciones por múltiples infracciones, como se observa en el caso de Endesa, que fue sancionada por no tratar los datos de manera segura y por no notificar o comunicar la brecha de manera debida, sumando un total de 6,1 millones de euros.  

Tabla 2: Ejemplos de sanciones recientes de la AEPD por brechas de seguridad.

La siguiente tabla resume algunos de los casos de sanción más notorios en España:

El caso de la aerolínea con una sanción de 600.000 euros por notificación tardía demuestra que el simple incumplimiento del plazo de 72 horas es, por sí mismo, una infracción grave que acarrea consecuencias financieras significativas, incluso cuando la organización intentó posteriormente colaborar con la AEPD.   

Conclusión: Hacia una cultura de ciberseguridad proactiva

En el complejo panorama de la protección de datos, la respuesta a una brecha de seguridad es mucho más que un trámite administrativo. Es una prueba de la madurez y la responsabilidad de una organización. El protocolo paso a paso delineado por el RGPD, y reforzado por las guías y resoluciones de la AEPD, no es un mero conjunto de reglas, sino una hoja de ruta para minimizar el impacto de un incidente inevitable.

Un enfoque reactivo, que se limita a reaccionar cuando ocurre un desastre, es un camino hacia la vulnerabilidad y la sanción. Por el contrario, una cultura de ciberseguridad proactiva, basada en la preparación continua, la detección temprana, la gestión eficiente y una comunicación transparente, se erige como la mejor estrategia. Esta cultura no ve la protección de datos como un gasto, sino como una inversión en la seguridad jurídica, financiera y reputacional del negocio. La diligencia, la transparencia y el compromiso con los derechos de los interesados son, en última instancia, las mejores herramientas para navegar la tormenta de una brecha de seguridad.

Si os han quedado dudas sobre la ciberseguridad o requerís tales servicios, poneros en contacto con nuestro equipo a través de las siguientes vías de comunicación.

📞 662 247 648

📧 [email protected]