¿Qué es una brecha de datos personales?
Envío por error
Un correo con datos de clientes a quien no debía recibirlo.
Equipo perdido o robado
Un portátil o un móvil sin cifrar.
Datos cifrados o robados por un ataque.
Acceso indebido
Alguien ve datos que no le corresponden.
Las primeras 72 horas
0 h
Contener
Parar lo que está pasando y apuntar la hora.
24 h
Valorar
Qué datos, de cuántas personas y qué riesgo tienen.
72 h
Notificar
A la AEPD, si hay riesgo.
Después
Comunicar
A los afectados, si el riesgo es alto.
¿Cuándo hay que notificar una brecha a la AEPD?
Sí, hay riesgo
Notifica a la AEPD por su sede electrónica. Si el riesgo es alto, comunícalo también a los afectados, en lenguaje claro.
No es probable
No hace falta notificar, pero regístrala en tu registro interno de brechas y explica por qué no hay riesgo.
¿Qué se apunta en el registro interno de brechas?
| Campo | Ejemplo |
|---|---|
| Qué pasó | Envío por error de un Excel con 40 clientes a un proveedor |
| Cuándo y cómo se detectó | Martes, 10:15, aviso del propio proveedor |
| Datos y personas afectadas | Nombre, teléfono y dirección de 40 clientes |
| Qué se hizo | Se pidió al proveedor que lo borrara y lo confirmara por escrito |
| Decisión sobre notificar | No se notifica: riesgo bajo, destinatario conocido y archivo borrado |
Ejemplo inventado para mostrar el nivel de detalle. Consulta tu caso con tu asesoría.
Preguntas frecuentes
¿Y si no sé todavía todo lo que pasó?
Puedes notificar con lo que sabes y completar la información después. Lo importante es no dejar pasar el plazo.
¿Un portátil perdido cifrado es una brecha?
Si el disco estaba cifrado y la clave no se ha perdido, el riesgo suele ser muy bajo. Regístralo igualmente.
¿Quién decide si se notifica?
El responsable del tratamiento (tu empresa), con ayuda de tu asesoría o tu delegado de protección de datos si lo tienes.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 4.12, 33 y 34.
- Agencia Española de Protección de Datos: guía y herramienta para la gestión y notificación de brechas.
