Una brecha de seguridad —o brecha de datos— no siempre es un ciberataque sofisticado. Muchas veces es un portátil olvidado en un tren, un correo enviado a la persona equivocada o una carpeta compartida por error. Lo que marca la diferencia no es evitar al 100% que ocurra, sino tener claro qué hacer cuando ocurre. Esta guía explica qué es una brecha de datos según el RGPD, qué tipos existen y el protocolo ordenado que debe seguir cualquier organización: detectar, contener, evaluar, documentar y, cuando proceda, notificar.
En 15 segundos
- Una brecha de seguridad es la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales (art. 4.12 RGPD).
- Se distinguen tres tipos: de confidencialidad, de integridad y de disponibilidad.
- Toda brecha se documenta en un registro interno (art. 33.5 RGPD), aunque no llegue a notificarse.
- Se notifica a la autoridad de control cuando hay riesgo para los derechos, en un plazo orientativo de 72 horas (art. 33), y se comunica a los afectados si el riesgo es alto (art. 34).
¿Qué es una brecha de seguridad?
El RGPD la llama violación de la seguridad de los datos personales y la define en su art. 4.12 como «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o el acceso no autorizados a dichos datos».
Conviene leer esa definición despacio, porque desmonta el equívoco más común. Una brecha no es solo un ataque informático. La norma habla de causas accidentales tanto como ilícitas, y de incidentes tan cotidianos como perder un dispositivo o dar acceso a quien no debía. Estos son ejemplos habituales que encajan en el art. 4.12:
- Pérdida o robo de un portátil, un móvil, un pendrive o una carpeta con documentación en papel.
- Envío erróneo de un correo o de un documento a un destinatario equivocado, o con la lista de destinatarios visible en copia abierta.
- Acceso no autorizado a un sistema, ya sea externo (intrusión) o interno (una persona que consulta datos a los que no debía llegar).
- Cifrado malicioso de la información por un ransomware, que la deja inaccesible.
- Borrado o alteración accidental de una base de datos sin copia de seguridad disponible.
La clave es entender que la brecha se refiere siempre a datos personales: información sobre personas físicas identificadas o identificables. Un incidente que solo afecta a datos técnicos anónimos no constituye una brecha en el sentido del RGPD, aunque sí pueda ser un problema de seguridad informática que convenga resolver.
Tipos de brecha: confidencialidad, integridad y disponibilidad
Aunque el art. 4.12 no las etiqueta con nombre propio, de su redacción se desprenden tres tipos de brecha según qué dimensión de la seguridad se vea afectada. Clasificar el incidente en uno de ellos es el primer paso para evaluar bien lo ocurrido.
Brecha de confidencialidad
Hay acceso o divulgación no autorizados a los datos. Es el caso del correo enviado a quien no debía, del acceso indebido a un sistema o de la publicación accidental de un listado. Los datos siguen existiendo e íntegros, pero han sido vistos por quien no correspondía.
Brecha de integridad
Los datos se alteran de forma no autorizada y dejan de ser fiables. Por ejemplo, una modificación indebida de registros o una manipulación que hace que la información ya no refleje la realidad. El riesgo aquí es tomar decisiones sobre datos que han dejado de ser correctos.
Brecha de disponibilidad
Se produce una pérdida de acceso a los datos o su destrucción. El caso típico es el ransomware que cifra la información, un borrado accidental sin copia o la avería irrecuperable de un soporte. Los datos pueden seguir existiendo, pero la organización no puede usarlos cuando los necesita.
Un mismo incidente puede combinar varios tipos a la vez. Un ataque que roba una base de datos y además la cifra afecta simultáneamente a la confidencialidad y a la disponibilidad. Por eso el análisis debe hacerse incidente por incidente, sin dar nada por supuesto.
Qué hacer paso a paso ante una brecha
Cuando se detecta un incidente, la respuesta profesional es ordenada, no precipitada. Actuar con método permite decidir con criterio qué obligaciones se activan y cuáles no. Este es el recorrido lógico.
1. Detectar y confirmar
El primer paso es confirmar que ha ocurrido algo y de qué se trata. Muchas alertas resultan ser falsos positivos; otras, incidentes reales. Anota cuándo se ha tenido constancia del hecho, porque ese momento es el que marca el inicio de los plazos posteriores. Tener constancia significa una certeza razonable de que ha habido un compromiso de datos, no una simple sospecha inicial.
2. Contener
Antes de analizar nada en profundidad, hay que frenar el daño. Según el caso: aislar el equipo afectado, revocar accesos o credenciales comprometidas, retirar del sistema el documento publicado por error o solicitar la retirada del correo enviado a quien no debía. Contener no resuelve la brecha, pero evita que crezca mientras se evalúa.
3. Evaluar el riesgo
Este es el paso que determina todo lo demás. Hay que valorar el riesgo para los derechos y libertades de las personas afectadas, teniendo en cuenta el tipo de datos implicados, su volumen, cuántas personas se ven afectadas, la facilidad de identificarlas y las posibles consecuencias para ellas (por ejemplo, suplantación de identidad, pérdidas económicas o afectación a su intimidad). El resultado de esta evaluación decide si la brecha se queda en el registro interno, si además se notifica a la autoridad o si también hay que comunicarla a los afectados.
4. Documentar SIEMPRE (art. 33.5 RGPD)
Aquí no hay margen de interpretación: todas las brechas se documentan, se notifiquen o no. El art. 33.5 RGPD obliga al responsable a documentar cualquier violación de seguridad, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Ese registro interno de brechas es lo que permite demostrar que la organización valoró cada incidente con criterio, incluso los que se decidió no notificar por no entrañar riesgo. Documentar bien es, en la práctica, la mejor prueba de que se ha actuado con diligencia.
5. Notificar a la autoridad de control cuando haya riesgo (art. 33 RGPD)
Si la evaluación concluye que la brecha puede entrañar un riesgo para los derechos y libertades de las personas, el art. 33 RGPD obliga a notificarla a la autoridad de control (en España, la AEPD). Debe hacerse sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a tener constancia de la brecha. Si no se llega a ese plazo, la notificación debe acompañarse de una explicación de los motivos de la demora. La notificación describe la naturaleza de la brecha, las categorías y el número aproximado de afectados, las consecuencias probables y las medidas adoptadas o propuestas.
6. Comunicar a los afectados si el riesgo es alto (art. 34 RGPD)
Cuando la brecha pueda entrañar un alto riesgo para los derechos y libertades de las personas, el art. 34 RGPD exige además comunicárselo directamente a las personas afectadas, sin dilación indebida y en un lenguaje claro y sencillo. El objetivo es que puedan protegerse: cambiar una contraseña, vigilar movimientos bancarios o estar alerta ante posibles intentos de suplantación. El propio art. 34 contempla excepciones a esta comunicación, por ejemplo cuando se habían aplicado medidas —como el cifrado— que hacen los datos ininteligibles para terceros, o cuando avisar individualmente supondría un esfuerzo desproporcionado y se opta por una comunicación pública equivalente.
"Una brecha no define a una organización; lo que la define es cómo responde. La empresa que tiene un protocolo, documenta cada incidente y decide con criterio si notificar demuestra control. La que improvisa a las tres de la mañana, no."
Mario P. Talamillo · Socio director, Certix®
Tabla de plazos y acciones
Esta es la relación entre cada obligación, su fundamento en el RGPD y cuándo se activa. Ayuda a distinguir lo que siempre hay que hacer de lo que depende del riesgo evaluado.
| Acción | Cuándo | Se activa |
|---|---|---|
| Contener el incidente | De inmediato | Siempre, en cuanto se detecta. |
| Documentar en el registro interno | Siempre | Toda brecha, se notifique o no (art. 33.5). |
| Notificar a la autoridad de control | Hasta 72 h desde la constancia | Cuando hay riesgo para los derechos (art. 33). |
| Comunicar a las personas afectadas | Sin dilación indebida | Cuando el riesgo es alto (art. 34). |
Nótese la lógica escalonada: la documentación es universal, la notificación depende de que haya riesgo y la comunicación a los afectados solo se activa con riesgo alto. No toda brecha llega al último escalón, pero toda brecha pasa por el primero.
El protocolo de brechas: prepararse antes
La mejor forma de responder bien a una brecha es haber decidido de antemano cómo se va a responder. Un protocolo de brechas de seguridad es el documento interno que fija, antes de que pase nada, quién hace qué y en qué orden. No es burocracia: es lo que permite cumplir un plazo de 72 horas sin improvisar.
Un protocolo útil, aterrizado al día a día, suele contemplar:
- Un canal claro de aviso interno. Que cualquier persona del equipo sepa a quién avisar en cuanto detecta algo raro, sin miedo a hacerlo. Muchas brechas tardan en gestionarse porque quien las detecta no sabe a quién acudir.
- Un responsable de coordinar la respuesta. Una figura que centralice las decisiones y evite que cada uno actúe por su cuenta.
- Una plantilla de registro interno preparada para documentar el incidente conforme al art. 33.5: qué pasó, cuándo se supo, qué datos y personas afecta, qué se hizo y con qué resultado.
- Un criterio de evaluación del riesgo definido con antelación, para no tener que improvisar la valoración bajo presión.
- Los datos de contacto del personal técnico, del asesor en protección de datos y de la vía de notificación a la autoridad, a mano y actualizados.
El protocolo de brechas encaja dentro de un marco más amplio de política de seguridad de la información, que define las medidas técnicas y organizativas del art. 32 RGPD. Las dos cosas se sostienen: buenas medidas de seguridad reducen la probabilidad de brechas, y un buen protocolo asegura una respuesta ordenada cuando alguna se produce igualmente.
Checklist de respuesta
Una lista rápida para tener a mano el día que ocurra. No sustituye al protocolo completo, pero ordena los primeros movimientos.
- ☐ Confirmar el incidente y anotar la fecha y hora en que se ha tenido constancia.
- ☐ Contener: aislar sistemas, revocar accesos, retirar lo publicado o enviado por error.
- ☐ Identificar qué datos y a cuántas personas afecta el incidente.
- ☐ Clasificar la brecha: ¿confidencialidad, integridad, disponibilidad o una combinación?
- ☐ Evaluar el riesgo para los derechos y libertades de las personas afectadas.
- ☐ Documentar todo en el registro interno de brechas (siempre, art. 33.5).
- ☐ Decidir si procede notificar a la autoridad (art. 33) y, en su caso, hacerlo dentro del plazo.
- ☐ Decidir si procede comunicar a los afectados por alto riesgo (art. 34).
- ☐ Registrar las medidas correctivas adoptadas para que no se repita.
Preguntas frecuentes
¿Qué es una brecha de seguridad según el RGPD?
El art. 4.12 RGPD define la violación de la seguridad de los datos personales como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos. No es solo un ciberataque: también lo es perder un portátil, enviar un correo con datos al destinatario equivocado o extraviar documentación en papel.
¿Todas las brechas de seguridad se notifican a la AEPD?
No. Solo se notifican a la autoridad de control las brechas que puedan entrañar un riesgo para los derechos y libertades de las personas afectadas (art. 33 RGPD). Ahora bien, todas las brechas, se notifiquen o no, deben quedar documentadas en un registro interno (art. 33.5 RGPD). La decisión de notificar depende de una evaluación previa del riesgo, no de la gravedad aparente.
¿En cuánto tiempo hay que notificar una brecha a la autoridad de control?
El art. 33 RGPD establece que, cuando la brecha deba notificarse, se haga sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que el responsable tiene constancia de ella. Si se notifica más tarde, debe acompañarse de los motivos de la demora. El plazo empieza a contar desde que la organización tiene constancia razonable de que ha ocurrido, no desde el primer indicio.
¿Cuándo hay que avisar a las personas afectadas por una brecha?
Cuando la brecha pueda entrañar un alto riesgo para los derechos y libertades de las personas afectadas (art. 34 RGPD). En ese caso hay que comunicárselo sin dilación indebida, en un lenguaje claro, explicando qué ha pasado, las posibles consecuencias y las medidas adoptadas. Si el riesgo es alto pero se han aplicado medidas que lo neutralizan, el propio art. 34 prevé excepciones a esta comunicación.
En resumen
Una brecha de seguridad es cualquier destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales (art. 4.12 RGPD), y puede ir desde un ciberataque hasta un correo mal enviado. La respuesta correcta es siempre metódica: detectar, contener, evaluar el riesgo, documentar en el registro interno —esto último, siempre, por exigencia del art. 33.5— y, según el riesgo, notificar a la autoridad de control en el plazo del art. 33 y comunicar a los afectados conforme al art. 34. Tener un protocolo preparado convierte un momento delicado en un procedimiento ordenado.
Cómo te acompaña Certix
En Certix ayudamos a las organizaciones a preparar su protocolo de brechas antes de necesitarlo y a gestionarlo con criterio cuando llega el momento. Definimos el circuito interno de aviso, la plantilla de registro conforme al art. 33.5, el criterio de evaluación del riesgo y la coordinación de la notificación cuando procede. El objetivo no es el miedo, sino el orden: que sepas exactamente qué hacer y en qué plazo.
Puedes empezar por entender el marco completo en nuestra guía del RGPD o revisar cómo se integra el protocolo dentro de tu política de seguridad de la información.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.
¿Tu organización sabría qué hacer ante una brecha?
En Certix preparamos tu protocolo de brechas y te acompañamos en la respuesta, con un análisis real de tu actividad y sin plantillas genéricas.
Hablar con un consultor