Brecha de datos: cómo notificar en 72 horas sin entrar en pánico
Si sufres una brecha de datos personales que puede afectar a las personas, el RGPD te da 72 horas para notificarla a la autoridad de control. En España, esa autoridad es casi siempre la AEPD. El reloj empieza cuando tienes constancia del incidente, no cuando ocurrió. Por eso, lo que marca la diferencia es tener el procedimiento listo antes.
En 30 segundos: ante una brecha de datos, notifica a la AEPD por su sede electrónica en un máximo de 72 horas. La excepción es que sea improbable que genere un riesgo. Si el riesgo es alto, avisa también a los afectados sin dilación. Además, registra todas las brechas, incluidas las que no notificas. Y si te aplica NIS2 o DORA, corren otros plazos en paralelo.
Qué es una brecha de datos y cuándo hay que notificarla
El Reglamento General de Protección de Datos la define como una violación de la seguridad que destruye, pierde o altera datos personales. También cubre su comunicación o el acceso a ellos sin autorización. Puede afectar a tres dimensiones:
- Confidencialidad: un correo con datos de clientes enviado al destinatario equivocado o un acceso indebido.
- Integridad: datos alterados sin autorización, por error o con mala fe.
- Disponibilidad: un ransomware que cifra la base de datos o un borrado sin copia.
No todo incidente de seguridad es una brecha de datos, y no toda brecha es un ciberataque. Un portátil perdido también cuenta. Lo que decide si debes notificar es el riesgo para las personas, no para tu empresa. Así, notificas salvo que sea improbable que haya riesgo, y comunicas a los afectados cuando el riesgo es alto.
El plazo de 72 horas del artículo 33
Desde cuándo cuenta el plazo
Debes notificar la brecha de datos sin dilación indebida y, si es posible, en 72 horas desde que tienes constancia. Lo concretan las Directrices 9/2022 del Comité Europeo de Protección de Datos (CEPD), vigentes en su versión 2.0 de 2023. Según el CEPD, tienes constancia cuando sabes con certeza razonable que hay datos personales comprometidos. Puedes investigar brevemente, pero no retrasar la decisión. Si llegas tarde, la notificación debe explicar los motivos del retraso.
Si un encargado del tratamiento sufre la brecha de datos, debe avisarte sin dilación indebida. En ese caso, tu reloj arranca cuando el encargado te informa. Por tanto, fija ese aviso en el contrato y en el registro de proveedores TIC si te aplica DORA.
Qué debe incluir la notificación de una brecha de datos
- La naturaleza de la brecha, con las categorías y el número aproximado de personas y registros afectados.
- Los datos de contacto del delegado de protección de datos o de otro punto de contacto.
- Las consecuencias probables para las personas.
- Las medidas adoptadas o propuestas, incluidas las que reducen sus efectos.
Si no tienes toda la información en 72 horas, puedes facilitarla por fases. Eso sí, el primer aviso debe llegar dentro de plazo.
Cómo notificar una brecha de datos a la AEPD
La AEPD solo admite la notificación de una brecha de datos por el formulario de su sede electrónica. Para usarlo, debes identificarte con certificado electrónico o Cl@ve. El formulario te guía con preguntas concretas y permite una notificación nueva o la modificación de una anterior. Esa segunda opción es la que usarás para completar la información por fases.
Notifica el responsable del tratamiento, aunque puede autorizar a un representante. Si tu establecimiento principal en la UE está en otro país, notificas a la autoridad de ese Estado. En el sector público de Cataluña, el País Vasco y Andalucía, la notificación va a su autoridad autonómica. Antes de enviarla, la herramienta Asesora Brecha de la AEPD te ayuda a decidir si debes notificar. Tienes todos los recursos en la página de brechas de la AEPD.
Cuándo comunicar la brecha de datos a los afectados
El artículo 34 te obliga a avisar a las personas sin dilación indebida cuando la brecha de datos implica un riesgo alto. El mensaje debe usar un lenguaje claro y comprensible. Además, debe explicar qué ha pasado, sus consecuencias probables, las medidas que has tomado y un punto de contacto.
No tienes que comunicarla en tres casos. Primero, si los datos estaban cifrados y resultan ininteligibles. Segundo, si has tomado medidas que eliminan el riesgo alto. Tercero, si avisar uno a uno exige un esfuerzo desproporcionado; entonces basta con una comunicación pública. Para valorar el riesgo, la AEPD ofrece la herramienta gratuita Comunica-Brecha RGPD. Aun así, la decisión final es tuya, y la AEPD puede exigirte la comunicación.
El registro interno de brechas
El artículo 33.5 exige documentar cualquier brecha de datos, también las que decides no notificar. Anota los hechos, sus efectos, las medidas correctoras y el razonamiento de tu decisión. Además, es una de las primeras cosas que puede pedirte la AEPD si investiga. También alimenta tu análisis de riesgos y tu checklist de cumplimiento del RGPD.
RGPD, NIS2 y DORA: tres relojes distintos
Un mismo ciberataque puede activar varias notificaciones a la vez, con destinatarios y plazos diferentes:
| Norma | Qué notificas y a quién | Plazos |
|---|---|---|
| RGPD | Brecha de datos personales, a la AEPD. | 72 horas; a los afectados, sin dilación si el riesgo es alto. |
| NIS2 | Incidente significativo, al CSIRT o la autoridad competente. | Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. |
| DORA | Incidente grave relacionado con las TIC, al supervisor financiero. | Aviso inicial en 4 horas desde que lo clasificas como grave (máximo 24 horas desde que lo conoces), intermedio en 72 horas y final en un mes. |
En España, NIS2 sigue sin transponerse, así que rige el Real Decreto-ley 12/2018 para operadores esenciales y proveedores digitales. Lo contamos en la transposición pendiente de NIS2 en España. En cualquier caso, el aviso a la AEPD va aparte: notificar al CSIRT o a tu supervisor financiero no lo sustituye.
Preguntas frecuentes sobre la brecha de datos
¿Cuánto tiempo tienes para notificar una brecha de datos?
Un máximo de 72 horas desde que tienes constancia, sin dilación indebida. Si un encargado sufre la brecha, el plazo cuenta desde que te avisa. Y si te retrasas, debes justificar el motivo en la propia notificación.
¿Hay que notificar todas las brechas?
No. Solo notificas la brecha de datos si es probable que genere un riesgo para los derechos y libertades de las personas. Sin embargo, debes registrarlas todas y documentar por qué decidiste no notificar.
¿Qué pasa si notificas tarde o no notificas?
Incumplir los artículos 33 o 34 puede suponer multas de hasta 10 millones de euros o el 2 % de la facturación mundial anual. Además, la AEPD puede sancionar por separado la falta de medidas de seguridad adecuadas del artículo 32.
¿Puedes notificar sin tener toda la información?
Sí. Envía dentro de plazo lo que sepas y completa después con la opción de modificar la notificación en la sede electrónica.
¿Cambiará el plazo de 72 horas con el Digital Omnibus?
Por ahora, no. La Comisión propuso en noviembre de 2025 notificar solo las brechas de riesgo alto, en 96 horas y por un punto único europeo. Pero, a 14 de octubre de 2026, la propuesta sigue pendiente de votación en comisión en el Parlamento Europeo. Mientras tanto, el CEPD adoptó en junio una plantilla común de notificación, aún pendiente de implantar.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC ante una brecha de datos
Atalaya GRC registra cada incidente o brecha de datos y te guía en la evaluación del riesgo. Después, activa a la vez los plazos del RGPD, NIS2 y DORA que te aplican, servicio por servicio. El reloj regulatorio avisa a los responsables antes de cada vencimiento. Además, el registro de brechas, las notificaciones y sus evidencias quedan en un solo sitio, con el registro de terceros para localizar al encargado implicado. Consulta la ficha del RGPD o pide una demo.
