Ante una brecha de datos personales, el RGPD obliga a notificarla a la AEPD en un plazo máximo de 72 horas desde que se tiene constancia y, cuando exista un alto riesgo para los derechos de los afectados, a comunicársela también a ellos (artículos 33 y 34).
Una brecha de datos personales puede ser tan ruidosa como un ransomware o tan silenciosa como un correo enviado al cliente equivocado. Lo que no cambia es la obligación: notificar a la autoridad de control en plazo y con la información mínima. Esta guía resume qué cuenta como brecha, cómo cumplir el plazo de 72 horas y qué medidas técnicas demuestran diligencia.
Qué es una brecha de datos personales
El RGPD define brecha como todo incidente que provoca destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. No requiere intencionalidad ni ataque externo: una copia de seguridad mal protegida o un fichero compartido por error son brechas plenamente cualificadas.
Notificación a la AEPD: 72 horas (art. 33)
El responsable debe notificar a la autoridad de control sin dilación indebida y, a más tardar, en 72 horas desde que ha tenido constancia de la brecha. La notificación debe incluir:
- Naturaleza de la brecha, categorías de datos y número aproximado de afectados.
- Datos de contacto del DPD o persona responsable.
- Consecuencias probables.
- Medidas adoptadas o propuestas para mitigar el riesgo.
Si no se dispone de toda la información en 72 horas, se notifica en fases. Las brechas que no entrañan riesgo para los derechos pueden documentarse internamente sin notificación.
Comunicación a los afectados (art. 34)
Cuando la brecha entrañe un alto riesgo para los derechos y libertades de los interesados, hay que comunicárselo a ellos. En lenguaje claro, sin tecnicismos, con los pasos que pueden seguir para protegerse.
Sanciones del RGPD
Las multas pueden alcanzar 20 M€ o el 4 % de la facturación anual mundial —el mayor de los dos. Las infracciones que más cuantía acumulan son la ausencia de notificación, la mala gestión del consentimiento y la falta de medidas técnicas y organizativas apropiadas.
Medidas técnicas de prevención (art. 32)
El artículo 32 obliga a aplicar medidas apropiadas teniendo en cuenta el estado de la técnica, los costes y el riesgo. En la práctica, esto se traduce en:
- Cifrado en reposo y en tránsito.
- Control de accesos con autenticación fuerte (MFA).
- Registro de actividad que permita reconstruir lo ocurrido.
- Copias de seguridad verificadas y aisladas.
- DLP para detectar y bloquear salidas no autorizadas (clave para acelerar la respuesta a una brecha).
Relación con ENS y NIS2
Las medidas exigidas por el RGPD coinciden, en gran parte, con las del Anexo II del ENS y con las del artículo 21 de NIS2. Un buen programa de compliance integra los tres marcos: una única política, un único plan de respuesta a incidentes y un mismo procedimiento de notificación que dispara los flujos de cada marco según corresponda.
En Nexus diseñamos planes de respuesta a brechas que garantizan el cumplimiento del plazo de 72 horas y desplegamos las medidas técnicas que demuestran diligencia ante la AEPD. Si tu organización quiere reducir riesgos de exfiltración, complementa el plan con DataPatrol y revisa nuestro servicio de compliance.