Brecha de datos y RGPD: tienes 72 horas para notificar a la AEPD

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Descubres que tu web o tu sistema ha sido comprometido y que se han visto datos personales. Además del incendio técnico, se activa un reloj legal que muchas empresas descubren demasiado tarde: notificar la brecha de seguridad a la AEPD en 72 horas. No es una recomendación, es una obligación del RGPD, y el plazo es mucho más corto de lo que parece cuando estás en plena crisis. Este artículo forma parte de nuestra guía de SOC gestionado, monitorización 24/7 y cumplimiento y explica qué exige exactamente la norma, cuándo empieza a contar el plazo y qué tienes que hacer.

Qué dice el RGPD sobre notificar una brecha a la AEPD en 72 horas

El Reglamento General de Protección de Datos (artículo 33) establece que, ante una violación de seguridad de los datos personales, el responsable del tratamiento debe notificarla a la autoridad de control competente —en España, la Agencia Española de Protección de Datos (AEPD)— sin dilación indebida y, a ser posible, en un plazo máximo de 72 horas desde que se tiene constancia de ella.

Aquí está el matiz que cuesta multas: el reloj arranca cuando tienes conocimiento razonable de que ha ocurrido una brecha, no cuando terminas de investigarla del todo. No puedes esperar a tener el informe forense cerrado para empezar a contar. Si notificas más tarde de las 72 horas, debes acompañar la comunicación con los motivos de la dilación. Y hay una excepción importante: solo puedes ahorrarte la notificación si es improbable que la brecha suponga un riesgo para los derechos y libertades de las personas afectadas. En caso de duda razonable, la práctica prudente es notificar.

Qué información debe contener la notificación

La AEPD dispone de un formulario específico, y no exige que lo sepas todo en el minuto uno. La norma permite una notificación por fases: puedes comunicar la información inicial en plazo y completar los detalles a medida que avanza la investigación. Lo que sí debe incluir la comunicación, en la medida de lo conocido, es:

• La naturaleza de la brecha: qué ha pasado, y las categorías y el número aproximado de afectados y de registros de datos implicados.
• Los datos de contacto del delegado de protección de datos (DPO) o del punto de contacto donde obtener más información.
• Las consecuencias probables de la violación de seguridad.
• Las medidas adoptadas o propuestas para poner remedio a la brecha y, cuando proceda, para mitigar sus posibles efectos negativos.

Este último punto es clave y suele infravalorarse: la AEPD valora la diligencia. Poder demostrar que tenías medidas de seguridad razonables, que detectaste el incidente y que reaccionaste con un procedimiento ordenado marca una diferencia enorme frente a una empresa que ni se enteró hasta que se lo dijo un cliente.

¿Y a los afectados? La segunda notificación

Existe una segunda obligación distinta y a menudo olvidada. El artículo 34 del RGPD exige que, cuando la brecha entrañe un alto riesgo para los derechos y libertades de las personas, se comunique también a los propios afectados sin dilación indebida. Esto ocurre, por ejemplo, cuando se han filtrado datos financieros, credenciales, datos de salud o información que permita suplantación de identidad. La comunicación a los afectados debe hacerse en un lenguaje claro y sencillo, no en jerga legal, y explicarles qué ha pasado y qué pueden hacer para protegerse.

El punto ciego: no puedes notificar lo que no detectas

Todo el marco de las 72 horas descansa sobre una premisa: que te enteres de la brecha. Y aquí está el problema real de la mayoría de pymes. Según datos del sector, muchas brechas tardan meses en detectarse. Si un atacante lleva noventa días exfiltrando datos y tú lo descubres el día noventa, tu plazo de 72 horas empieza tarde y tu exposición legal es enorme. La detección temprana no es solo higiene técnica: es lo que hace posible cumplir con el plazo. Por eso las funciones de Detectar y Responder del NIST Cybersecurity Framework son el sustento operativo del cumplimiento legal.

En PathSentinel trabajamos ambos lados: la monitorización 24/7 que reduce el tiempo de detección y la respuesta forense (DFIR) que produce el análisis de causa raíz y alcance que necesitas para redactar una notificación defendible. Atendemos desde pymes hasta entornos exigentes —banca y comercios con datos de tarjeta—, donde una brecha activa además obligaciones sectoriales y contractuales adicionales.

Qué hacer en las primeras horas

• Contén, no destruyas. Preserva evidencias (logs, imágenes de disco) antes de limpiar; las necesitarás para valorar el alcance y para la notificación.
• Documenta la hora exacta en que tuviste conocimiento del incidente. Ese es el inicio de tu plazo.
• Evalúa el riesgo con criterio: qué datos, de cuántas personas, con qué consecuencias probables.
• Notifica a la AEPD aunque sea por fases; y valora si toca comunicar también a los afectados.

La sanción por no notificar puede sumarse al daño del propio ataque, un cálculo que desarrollamos en Cuánto cuesta de verdad un ciberataque a una pyme. Y conviene recordar que el RGPD no es la única norma en juego: para servicios y webs hay obligaciones adicionales que explicamos en LSSI y hackeo de tu web. Si estás ahora mismo ante una brecha y necesitas ayuda para evaluarla y notificarla bien, contáctanos en contacto.