Qué es una brecha de seguridad a efectos del RGPD

El artículo 4.12 del RGPD define la violación de seguridad como toda violación que ocasione, de manera accidental o ilícita, la destrucción, pérdida o alteración no autorizada de datos personales, o la comunicación o el acceso no autorizados a esos datos.

Tres tipos de brecha: de confidencialidad (acceso no autorizado o divulgación), de integridad (modificación no autorizada) y de disponibilidad (pérdida o destrucción de datos). El cifrado de datos en un ataque de ransomware que impide acceder a ellos es una brecha de disponibilidad aunque no haya exfiltración. El envío de un email con datos de un cliente a un destinatario incorrecto es una brecha de confidencialidad aunque sea accidental y aunque el remitente corrija el error al momento.

No todas las brechas se notifican a la AEPD

Aquí está el primer punto de confusión habitual. El artículo 33 solo obliga a notificar cuando la brecha “pueda constituir un riesgo para los derechos y libertades de las personas físicas”. Si la brecha es improbable que genere ese riesgo (porque los datos estaban cifrados con un algoritmo robusto, el incidente se corrigió antes de cualquier acceso real o los datos afectados son mínimos y no sensibles), no hay obligación de notificar a la AEPD.

Pero sí hay obligación de documentarla internamente. El artículo 33.5 exige que el responsable registre todas las violaciones de seguridad, notificables o no, con una descripción de los hechos, sus efectos y las medidas correctoras adoptadas. Ese registro debe estar disponible para la AEPD en caso de inspección.

En la práctica, cuando hay duda sobre si una brecha es notificable, la AEPD recomienda notificar. Una notificación innecesaria tiene consecuencias menores; la ausencia de notificación cuando era obligatoria puede resultar en sanción independiente de la brecha original.

El reloj de 72 horas: cómo se cuenta

El plazo empieza cuando el responsable “tiene conocimiento” de la brecha. No cuando ocurre, no cuando la detecta el sistema de monitoring automáticamente, sino cuando una persona con capacidad para actuar tiene información suficiente para saber que ha habido una violación de seguridad. La AEPD ha aclarado que “conocimiento” no requiere certeza absoluta: cuando existe sospecha razonada, el plazo empieza a correr.

Si el responsable no dispone de toda la información en ese momento, lo habitual en incidentes complejos, puede hacer una notificación provisional a la AEPD indicando que la investigación está en curso y comprometiéndose a completar la información. La notificación incompleta en plazo es mejor que la notificación completa fuera de plazo.

La notificación se hace a través de la sede electrónica de la AEPD, en el formulario específico para brechas de seguridad. Debe incluir la descripción de la naturaleza de la violación, categorías y número aproximado de interesados afectados, volumen de registros comprometidos, datos del DPO o punto de contacto, consecuencias probables y medidas adoptadas o propuestas para remediar la situación.

Cuándo hay que comunicarlo también a los afectados

Además de la notificación a la AEPD, el artículo 34 del RGPD obliga a comunicar la brecha directamente a los interesados afectados cuando es “probable que entrañe un alto riesgo para sus derechos y libertades”. El umbral es más alto que para la notificación a la autoridad: aquí se exige riesgo alto, no solo riesgo.

Situaciones que típicamente activan la comunicación a afectados: robo de credenciales de acceso a servicios bancarios o médicos, exfiltración de datos de salud o datos especialmente sensibles, acceso masivo a datos de menores, o cualquier brecha que pueda facilitar robo de identidad o daño financiero directo a los afectados.

La comunicación a los afectados no tiene un plazo de 72 horas. El RGPD solo dice “sin dilación indebida”, pero la AEPD puede ordenarla si el responsable no la hace voluntariamente.

La diferencia con NIS2: dos relojes distintos

Las organizaciones sujetas tanto al RGPD como a NIS2, o a DORA en el sector financiero, deben gestionar plazos de notificación distintos para el mismo incidente. NIS2 exige una alerta temprana en 24 horas al CSIRT nacional (INCIBE-CERT para entidades privadas, CCN-CERT para administraciones), una notificación formal en 72 horas y un informe final completo en un mes. El RGPD exige la notificación a la AEPD en 72 horas si hay riesgo para las personas.

Son notificaciones a autoridades distintas, con formatos distintos y con focos distintos: NIS2 se centra en el impacto sobre la continuidad del servicio y la infraestructura; el RGPD se centra en el impacto sobre los derechos de los individuos cuyos datos están comprometidos. Un mismo incidente puede, y en muchos casos debe, activar las dos.

Tener un procedimiento de gestión de incidentes que contemple explícitamente los dos circuitos de notificación, con responsables asignados y plantillas preparadas, es lo que permite responder en plazo sin improvisar bajo presión.

Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 4.12, 33, 34 y 58; Directrices CEPD 01/2021 sobre notificación de brechas de seguridad; Directiva (UE) 2022/2555 (NIS2), artículo 23.

La entrada Brechas de seguridad y notificación a la AEPD: el plazo de 72 horas y cómo gestionarlo sin errores se publicó primero en Adaptación RGPD.