Brecha de Seguridad de Datos Personales: Qué Es y Cómo Notificarla

El problema: has detectado un acceso indebido a datos y no sabes si tienes que notificarlo

Un empleado envía por error un archivo con datos de clientes a un destinatario equivocado, un servidor sufre un acceso no autorizado, o se pierde un dispositivo con información de usuarios sin cifrar. En cualquiera de estos casos surge la misma duda: ¿hay que notificarlo a la Agencia Española de Protección de Datos (AEPD)? ¿Y a las personas afectadas?

La respuesta depende de si el incidente entra dentro de la definición legal de brecha de seguridad y, sobre todo, del nivel de riesgo que suponga para los derechos de los afectados. Este artículo explica qué es una brecha de seguridad de datos personales, cuándo hay que notificarla, en qué plazo y con qué contenido, según el RGPD.

Qué es una brecha de seguridad de datos personales

El artículo 4.12 del Reglamento (UE) 2016/679 (RGPD) define la violación de la seguridad de los datos personales —lo que habitualmente llamamos brecha de seguridad— como "toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos".

Esta definición cubre tres tipos de incidentes, que no son excluyentes entre sí:

• Violación de confidencialidad: acceso o comunicación no autorizados de datos (por ejemplo, un envío erróneo, una filtración o un acceso indebido a un sistema).
• Violación de integridad: alteración no autorizada o accidental de los datos.
• Violación de disponibilidad: pérdida, destrucción o imposibilidad de acceso a los datos (por ejemplo, un ataque de ransomware que cifra la información, o la pérdida de un dispositivo sin copia de seguridad).

Cuándo hay que notificar la brecha a la AEPD

El artículo 33.1 del RGPD obliga al responsable del tratamiento a notificar la brecha a la autoridad de control competente —la AEPD, en España— sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que tenga constancia de ella.

Esta obligación tiene una excepción: no es necesario notificar cuando sea improbable que la violación de seguridad constituya un riesgo para los derechos y libertades de las personas físicas. Es el propio responsable quien debe valorar y documentar ese riesgo, ya que la carga de la prueba de que no existía riesgo recae sobre él.

Si la notificación no se realiza dentro de las 72 horas, el artículo 33.1 exige que se acompañe de las razones de la dilación.

Qué debe incluir la notificación a la AEPD

Según el artículo 33.3 del RGPD, la notificación debe contener, como mínimo:

• La naturaleza de la violación de la seguridad, incluyendo, si es posible, las categorías y el número aproximado de interesados afectados, así como las categorías y el número aproximado de registros de datos personales afectados.
• El nombre y los datos de contacto del delegado de protección de datos (DPO) o de otro punto de contacto.
• Las consecuencias probables de la violación de la seguridad.
• Las medidas adoptadas o propuestas para poner remedio a la violación, incluyendo, si procede, las medidas para mitigar los posibles efectos negativos.

Si no se dispone de toda la información en el momento de la notificación, el propio artículo 33.4 permite facilitarla de manera gradual, sin dilación indebida adicional.

Cuándo hay que informar también a los afectados

El artículo 34.1 del RGPD exige, además de notificar a la AEPD, comunicar la brecha directamente a los interesados afectados cuando sea probable que la violación entrañe un alto riesgo para sus derechos y libertades. Esta comunicación debe hacerse en un lenguaje claro y sencillo, describiendo la naturaleza de la brecha y, como mínimo, la misma información que la notificación a la autoridad de control.

El artículo 34.3 recoge tres excepciones en las que no es necesario comunicar la brecha a los afectados, aunque exista alto riesgo:

• El responsable había adoptado medidas de protección técnicas y organizativas apropiadas (por ejemplo, cifrado) que hacen los datos ininteligibles para terceros no autorizados.
• El responsable ha tomado medidas posteriores que garantizan que ya no es probable que se materialice el alto riesgo.
• Comunicarlo individualmente exigiría un esfuerzo desproporcionado; en ese caso, se opta por una comunicación pública o una medida similar que informe a los interesados con igual eficacia.

Qué pasa si no se notifica una brecha que debía notificarse

El incumplimiento de las obligaciones de notificación de los artículos 33 y 34 del RGPD se encuadra entre las infracciones que pueden sancionarse con multas de hasta 10 millones de euros o, si la cifra es superior, el 2 % del volumen de negocio total anual mundial del ejercicio anterior, conforme al artículo 83.4.a) del RGPD.

Cómo documentar internamente una brecha, se notifique o no

Con independencia de si finalmente se notifica a la AEPD, el artículo 33.5 del RGPD obliga al responsable a documentar internamente cualquier violación de la seguridad de los datos personales, incluyendo los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Esta documentación debe permitir a la AEPD verificar el cumplimiento de la obligación de notificación, por lo que conviene mantener un registro interno de incidentes, se hayan notificado o no.

Dónde seguir la normativa sobre protección de datos en el BOE

Las sanciones de la AEPD por brechas de seguridad no notificadas, así como las modificaciones normativas en materia de protección de datos, se publican en el BOE. Puedes repasar el marco general en los términos del glosario dedicados al RGPD y al DPO, y configurar una alerta para no perderte cambios normativos en protección de datos desde BOE Hoy.

Los resúmenes son orientativos. Para efectos legales, consulta siempre el texto íntegro del Reglamento (UE) 2016/679 en boe.es.