La notificación de brechas de datos a la AEPD es obligatoria en 72 horas según el RGPD. Esta guía explica exactamente qué información incluir, cuándo es obligatorio y cómo CyberClear 360º gestiona el proceso legal por tu empresa.
Qué es la notificación de brechas de datos y cuándo es obligatoria
Toda empresa que trate datos de personas físicas en el ejercicio de su actividad —lo que incluye prácticamente a cualquier negocio que tenga clientes, empleados o proveedores— está sujeta al Reglamento General de Protección de Datos (RGPD). Cuando se produce un incidente de seguridad que afecta a esos datos, el RGPD establece obligaciones de notificación precisas y con plazos estrictos.
Cuándo hay obligación de notificar una brecha de datos a la AEPD
El RGPD no obliga a notificar toda brecha de datos, sino únicamente aquellas que puedan suponer un riesgo para los afectados. Para determinar si existe ese riesgo, hay que evaluar la naturaleza de los datos comprometidos, el número de personas afectadas y las posibles consecuencias del incidente.
Existen tres escenarios diferenciados según el nivel de riesgo:
- Riesgo improbable o inexistente: no es obligatorio notificar a la AEPD, pero sí documentar el incidente internamente en el registro de brechas de la empresa.
- Riesgo probable para los afectados: notificación obligatoria a la AEPD en 72 horas. No es obligatorio comunicarlo a los afectados, aunque puede ser recomendable.
- Alto riesgo para los afectados: notificación obligatoria a la AEPD en 72 horas y comunicación directa a las personas afectadas sin dilación indebida.
Los datos que implican mayor riesgo para los afectados son los datos de categorías especiales (salud, ideología, religión, vida sexual), los datos bancarios o financieros, los datos de menores y cualquier dato cuya exposición pueda derivar en discriminación, robo de identidad o daño económico directo.
Qué información debe incluir la notificación a la AEPD
El RGPD establece los contenidos mínimos que debe incluir toda notificación de brecha de datos a la autoridad supervisora. La AEPD dispone de un formulario específico accesible a través de su sede electrónica. Si en el momento de la notificación no se dispone de toda la información, el RGPD permite notificar por fases, completando los datos a medida que se vayan obteniendo.
Los contenidos obligatorios son:
- Descripción de la naturaleza de la brecha: tipo de incidente, cómo ocurrió y qué sistemas o datos se vieron afectados.
- Categorías y número aproximado de personas afectadas: clientes, empleados, proveedores u otros interesados cuyos datos se han visto comprometidos.
- Categorías y número aproximado de registros de datos afectados.
- Datos de contacto del responsable del tratamiento o del delegado de protección de datos (DPO) para recibir más información.
- Consecuencias probables de la brecha: qué riesgos concretos genera para las personas afectadas.
- Medidas adoptadas o propuestas para abordar la brecha, incluyendo las medidas para mitigar sus posibles efectos negativos.
Pasos para gestionar una brecha de datos y notificarla correctamente
- 1 Detectar y contener Identificar el alcance del incidente, aislar los sistemas afectados y detener la propagación. Cada hora cuenta para limitar el número de datos comprometidos.
- 2 Evaluar el riesgo Determinar qué datos se han visto afectados, cuántas personas están implicadas y qué nivel de riesgo supone para ellas. Esta evaluación determina si la notificación a la AEPD es obligatoria.
- 3 Notificar a la AEPD (si procede) Completar el formulario de notificación de la AEPD en un plazo máximo de 72 horas desde el conocimiento del incidente. Si la información no está completa, notificar provisionalmente e ir actualizando.
- 4 Comunicar a los afectados (si hay alto riesgo) Informar directamente a las personas cuyos datos se han visto comprometidos cuando el riesgo para ellas sea alto. La comunicación debe ser clara, directa y sin tecnicismos.
- 5 Documentar el incidente Registrar internamente todos los detalles de la brecha, las decisiones tomadas y las medidas adoptadas. Esta documentación es obligatoria con independencia de si se notifica o no a la AEPD.
Cómo cubre el ciberseguro la gestión legal de una brecha de datos
La gestión legal de una brecha de datos requiere conocimiento específico en protección de datos, plazos muy ajustados y capacidad de respuesta inmediata. Para la mayoría de las pymes, contar con un abogado especializado en RGPD disponible en 72 horas no es algo que puedan garantizar sin cobertura previa.
Trebia Seguros activa el protocolo legal de CyberClear 360º desde el momento en que se detecta el incidente. El equipo de abogados especializados gestiona la notificación a la AEPD, asesora sobre la comunicación a los afectados y defiende a la empresa ante posibles sanciones o reclamaciones de terceros.
¿Qué pasa si no se notifica la brecha a la AEPD en plazo?
El incumplimiento del plazo de 72 horas puede derivar en sanciones adicionales a las que ya genera la brecha en sí. El RGPD prevé multas de hasta el 2% de la facturación anual global o 10 millones de euros por incumplimientos de las obligaciones de notificación, y hasta el 4% o 20 millones en casos más graves.
¿Tengo que notificar también si la brecha la causó un proveedor?
Sí. Si el proveedor trata datos en nombre de tu empresa como encargado del tratamiento, la responsabilidad de notificar a la AEPD recae sobre tu empresa como responsable del tratamiento. El encargado tiene obligación de notificarte el incidente sin dilación indebida para que puedas cumplir el plazo de 72 horas.
¿La AEPD sanciona siempre tras una notificación de brecha?
No. La AEPD valora positivamente la notificación proactiva, la cooperación durante la investigación y las medidas adoptadas para mitigar el daño. Notificar voluntariamente y demostrar que se han tomado medidas adecuadas puede reducir significativamente el impacto de una posible sanción.
Ante una brecha de datos, cada hora cuenta. CyberClear 360º activa abogados especializados en RGPD desde el primer momento del incidente.
CALCULA EL RIESGO DE TU EMPRESA HABLA CON UN ESPECIALISTA