Brecha de datos personales: qué hacer durante las primeras 72 horas

Primero hay que saber qué ha ocurrido

Una brecha puede afectar a confidencialidad, integridad o disponibilidad de datos personales. No se limita a un ataque externo: enviar información al destinatario equivocado o perder acceso a datos relevantes también exige valoración. Identificar el incidente no significa que exista automáticamente una obligación de avisar a todo el mundo.

El RGPD exige documentar las violaciones de seguridad. La notificación a la autoridad se realiza sin dilación indebida y, cuando corresponda, dentro de las 72 horas desde que se tiene constancia. Existe la excepción de que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas.

Organizar la respuesta

Activa a quien coordine seguridad, privacidad y gestión. Registra cuándo se detectó el incidente, qué sistemas y datos podrían estar afectados y qué medidas se adoptaron. Contén el acceso indebido sin borrar pruebas necesarias y conserva un registro de decisiones.

Distingue responsable y encargado del tratamiento. El encargado debe comunicar al responsable sin dilación indebida; no debe interpretar las 72 horas como una autorización para esperar antes de avisarle.

Autoridad y afectados tienen umbrales distintos

Si es probable un alto riesgo para las personas, debe valorarse también la comunicación a los afectados conforme al artículo 34. Su finalidad es permitirles protegerse y no se rige por una supuesta ventana general de 72 horas para avisarles. La AEPD insiste en comunicar sin dilación indebida cuando sea exigible.

La evaluación debe considerar datos, volumen, posibilidad de identificación y consecuencias. Si aún no hay toda la información, consulta el régimen de comunicación por fases; no descartes la notificación solo porque la investigación no haya terminado.

Qué conservar después

Guarda la evaluación de riesgo, la decisión de notificar o no, las comunicaciones y las medidas correctoras. Revisa proveedores, permisos y procedimientos para evitar la repetición.

Esta guía es una secuencia de organización. La decisión sobre una brecha real requiere evaluación técnica y jurídica; una herramienta de ayuda no transfiere esa responsabilidad ni certifica por sí sola el cumplimiento.