¿Una brecha de datos en tu empresa? Prepara los papeles en 15 minutos
Un correo con datos enviado a quien no era, un portátil robado, un ransomware, una cuenta entrada. Aquí tienes el reloj de las 72 horas, el borrador de la notificación a la AEPD, el aviso a las personas afectadas y la entrada de tu registro de brechas. Todo se escribe en tu navegador: no nos llega nada.
Lo primero, en este orden
- Contén la brecha. Corta el acceso: cambia contraseñas, cierra sesiones, desconecta el equipo afectado de la red, pide que borren un correo enviado por error. Apunta la hora de todo: lo necesitarás.
- Mira si hay que notificar. Si es probable un riesgo para las personas, hay que notificarla a la AEPD en 72 horas desde que tienes constancia. Si el riesgo es alto, también hay que comunicárselo a los afectados. La herramienta Asesora Brecha de la AEPD te ayuda a decidirlo.
- Notifica en la sede de la AEPD. Con el borrador de abajo, rellena el formulario de la sede electrónica. Si aún no lo sabes todo, haz una notificación inicial en plazo y complétala con una modificación antes de 30 días desde la notificación inicial.
- Avisa a las personas, si el riesgo es alto. En lenguaje claro, directamente (correo, SMS, teléfono o carta) y con todo el contenido mínimo. Si avisar a cada una exige un esfuerzo desproporcionado, con avisos públicos bien visibles.
- Apúntalo en tu registro de brechas. Toda brecha se documenta, aunque no haya que notificarla: qué pasó, qué efectos tuvo, qué hiciste, qué decidiste sobre notificar y, si avisaste a las personas, una copia del aviso.
Preguntas frecuentes
¿Desde cuándo cuentan las 72 horas?
Desde que tienes constancia de la brecha, no desde que ocurrió, y corren seguidas, también en fines de semana y festivos. Apunta ese momento y no esperes a saberlo todo: la notificación puede hacerse por fases, con una inicial en plazo y una modificación antes de 30 días desde esa notificación inicial.
¿Siempre hay que notificar a la AEPD?
Solo si es probable que la brecha suponga un riesgo para los derechos y libertades de las personas. Si concluyes que no, no se notifica, pero se documenta en tu registro de brechas con el porqué.
¿Y si ya han pasado las 72 horas?
Notifícala igualmente cuanto antes, con lo que ya sepas, y explica en la notificación y en tu registro por qué se retrasó. El borrador te deja el hueco para ello.
¿A qué autoridad le toca?
Si tu empresa solo está establecida en España, a la AEPD. Si tiene establecimientos en varios países de la UE, a la AEPD solo si el establecimiento principal está en España. Si no está establecida en la UE, a la AEPD si la brecha afecta a personas en España.
¿Me lo guardáis?
No. Todo se escribe en tu navegador y no nos llega nada: ni lo que escribes ni los papeles que salen. Descárgalos o imprímelos antes de cerrar la página: nosotros no podremos recuperarlos.
Soy una administración pública de Andalucía, Cataluña o el País Vasco
Tu autoridad de control es la de tu comunidad autónoma, no la AEPD. Los papeles te sirven igual, pero se presentan allí.
¿Esto sustituye a mi delegado de protección de datos o a mi asesor?
No. Te ahorra el papel en blanco y te recuerda lo que pide la AEPD; la decisión de notificar y lo que se envía son tuyos, y si tienes delegado de protección de datos, cuenta con él desde el primer minuto.
Fuentes oficiales
- AEPD: notificación de brechas de datos personales
- AEPD: comunicación de brechas a los afectados
- AEPD: formulario de notificación en la sede electrónica
- AEPD: Asesora Brecha (¿hay que notificar?)
- AEPD: Comunica-Brecha RGPD
- AEPD: Guía para la gestión y notificación de brechas (2021)
Consultadas el 12 de octubre de 2026. ¿Te preocupa que alguien use los datos filtrados para engañar a tus clientes? Que comprueben cualquier mensaje dudoso en Comprobar.