Una brecha de seguridad en datos personales es uno de los eventos más temidos por cualquier empresa. Y lo que convierte un problema técnico en una sanción millonaria no es siempre la brecha en sí, sino cómo se gestiona. O, más exactamente, cómo no se gestiona.
En 2025, los procedimientos sancionadores por brechas de seguridad crecieron un 157 % respecto al año anterior, pasando de 30 a 77 expedientes, con multas totales que superaron los 20 millones de euros solo en este concepto.
La AEPD lo tiene claro: no sancionará igual a una empresa que detecta la brecha, la notifica en plazo, informa a los afectados y demuestra que tenía medidas de seguridad razonables, que a una empresa que descubre la brecha semanas después, no la notifica y no puede demostrar que tenía ningún protocolo.
¿Qué es exactamente una brecha de seguridad?
El RGPD define brecha de seguridad como cualquier incidente que provoque la destrucción, pérdida, alteración, comunicación no autorizada o acceso indebido a datos personales, ya sea accidental o de forma deliberada.
Eso incluye situaciones muy diversas:
- Un ransomware que cifra los datos de la empresa y los hackers exigen rescate.
- Un empleado que pierde un ordenador portátil con datos de clientes.
- Un email enviado al destinatario equivocado con datos de terceros.
- Un acceso no autorizado a la base de datos de clientes.
- Una caída del sistema que hace que datos personales queden accesibles sin control.
- Un proveedor que sufre un ciberataque y tus datos de clientes están en su sistema.
No todas las brechas son iguales. El RGPD distingue según el riesgo que suponen para los derechos y libertades de las personas afectadas.
Las tres categorías de respuesta ante una brecha
1. Sin riesgo para los afectados → Solo documentar internamente
Si la brecha no supone riesgo para las personas afectadas (por ejemplo, se ha perdido un archivo con datos ya cifrados y la clave de cifrado es segura), basta con documentar el incidente internamente en el Registro de Brechas de la empresa. No hay obligación de notificar a la AEPD ni a los afectados.
2. Con riesgo para los afectados → Notificar a la AEPD en 72 horas
Si la brecha puede suponer algún riesgo para los derechos y libertades de las personas (acceso a datos que pueden usarse para fraude, discriminación o daño reputacional), debes notificarlo a la AEPD en un máximo de 72 horas desde que detectas el incidente.
El plazo empieza desde que detectas la brecha, no desde que la confirmas ni desde que sabes exactamente qué datos se han visto afectados. Si tienes indicios, empieza el plazo.
3. Con riesgo alto para los afectados → Notificar también a los afectados
Si la brecha puede suponer un riesgo alto (datos financieros expuestos, datos de salud, datos que pueden usarse para chantaje, exposición de contraseñas), debes notificarlo también a las personas afectadas sin dilación indebida.
Casos reales y sus multas
Banca March — 302.000 €
Banca March fue sancionada con 302.000 euros principalmente por retrasar la notificación de una brecha de seguridad a la AEPD y a los afectados más allá del plazo de 72 horas. La brecha en sí habría conllevado una sanción menor; la demora en la notificación la agravó significativamente.
Vivus — 480.000 €
La compañía de préstamos Vivus fue multada con 480.000 euros tras una brecha de seguridad que expuso datos personales de hasta 9.500 clientes, incluyendo información financiera. La AEPD consideró que la empresa no había implementado las medidas técnicas de seguridad adecuadas al perfil de riesgo de los datos que gestionaba.
Ecommerce — 310.000 € (reducida a 186.000 €)
Una tienda online fue sancionada con 310.000 euros tras una brecha que expuso datos de clientes. La multa se redujo a 186.000 euros por reconocimiento de responsabilidad y pago voluntario. El agravante: vulnerabilidades técnicas conocidas que no habían sido parcheadas.
Empresa de electrónica española — 1.090.000 €
Una conocida empresa española de electrónica fue multada con más de un millón de euros tras una brecha que expuso datos de clientes en la dark web. La tardanza en detectar la brecha y en notificarla, combinada con el volumen de afectados, llevó la sanción a siete cifras.
El protocolo de las primeras 72 horas
Cuando detectas un posible incidente de seguridad que puede haber afectado a datos personales, este es el protocolo que debes seguir:
Horas 0-4: Detección y contención
- Confirmar que existe un incidente (no basta con una sospecha, pero tampoco hay que esperar a tener toda la información).
- Aislar los sistemas afectados para evitar que el incidente se extienda.
- Activar el equipo de respuesta: responsable de sistemas, responsable de protección de datos (o asesor externo), dirección.
- Preservar evidencias: no borres logs ni archivos que puedan ser necesarios para la investigación.
Horas 4-24: Evaluación inicial
- Determinar qué datos se han visto afectados (categorías, volumen aproximado, personas afectadas).
- Evaluar el riesgo para los derechos de las personas afectadas.
- Decidir si hay obligación de notificar a la AEPD (casi siempre la hay si hay datos personales afectados).
Horas 24-72: Notificación a la AEPD
- Notificar a la AEPD a través de la sede electrónica (sede.aepd.gob.es) con la información disponible en ese momento. No hace falta tener todo el cuadro completo: puedes notificar provisionalmente y complementar después.
- Si el riesgo para los afectados es alto, notificar también a los afectados directamente.
- Documentar todas las acciones tomadas y en qué momento.
Tras las 72 horas: Análisis completo y medidas correctoras
- Completar la investigación del incidente.
- Implementar las medidas para que no se repita.
- Actualizar el Registro de Brechas interno con todos los detalles.
- Revisar si es necesario actualizar el análisis de riesgos y las medidas de seguridad.
Qué busca la AEPD cuando investiga una brecha
La AEPD no espera que las empresas sean infalibles. Espera que tengan:
- Medidas técnicas y organizativas apropiadas al nivel de riesgo de los datos que tratan.
- Un protocolo de respuesta documentado antes de que ocurra el incidente.
- Capacidad de detección ršpida de incidentes.
- Notificación en plazo a la AEPD (y a los afectados cuando proceda).
- Medidas correctoras implementadas tras el incidente.
Una empresa que puede demostrar que tenía todo esto y aun así sufrió una brecha recibirá un tratamiento muy diferente de una empresa que no tenía ni sistema de alertas ni protocolo ni registro.
Checklist de preparación ante brechas de seguridad
- Tienes identificado quién es el responsable de gestionar una brecha (nombre, teléfono).
- Tienes acceso a la sede electrónica de la AEPD preparado para notificaciones de urgencia.
- Existe un Registro de Brechas donde se documentan todos los incidentes.
- Tus sistemas tienen logs de acceso y alertas de actividad anómala.
- Sabes en todo momento dónde están tus datos (qué sistemas, qué proveedores).
- Tienes contratos con proveedores que incluyen obligación de notificarte si sufren un incidente que te afecte.
- Los datos sensibles están cifrados en reposo y en tránsito.
- Tienes copias de seguridad regulares y verificadas en ubicación separada.
- Has hecho un análisis de riesgos documentado en los últimos 12 meses.
Una brecha de seguridad mal gestionada puede multiplicar por cinco o por diez el coste de la sanción. Una bien gestionada puede resultar en un apercibimiento sin multa económica. La diferencia no está en la suerte: está en la preparación.
En Protección de Datos Valencia ayudamos a empresas valencianas a preparar su protocolo de respuesta ante brechas, implementar las medidas técnicas adecuadas y documentar todo lo necesario para que, si ocurre algo, la situación sea gestionable. Solicita una consulta gratuita antes de que lo necesites de urgencia.
Fuentes: Resoluciones AEPD sobre brechas de seguridad (Banca March 302.000€, Vivus 480.000€, ecommerce 310.000€), Memoria AEPD 2025, autonomosyemprendedor.es (plazo 72 horas), artículos 33 y 34 RGPD
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.