Brechas de seguridad
qué exige la ley y cómo debe reaccionar tu organización
Por Cabet Abogados
Ninguna organización está completamente a salvo. Un correo de phishing que alguien abre sin darse cuenta, un portátil extraviado, una contraseña reutilizada o un proveedor con una vulnerabilidad sin parchear: cualquiera de estas situaciones puede desembocar en una brecha de seguridad. La pregunta, hoy, no es tanto si ocurrirá, sino cómo se está preparado para reaccionar cuando ocurra.
Y reaccionar bien no es solo una cuestión técnica. Es, ante todo, una obligación jurídica con plazos exigentes y consecuencias relevantes. Conviene entenderla antes de que llegue el incidente, no durante.
Qué es exactamente una brecha de seguridad
El Reglamento General de Protección de Datos (RGPD) define la «violación de la seguridad de los datos personales» como toda brecha que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, así como su comunicación o acceso no autorizados.
Esta definición es más amplia de lo que suele pensarse. No se limita a los ciberataques sofisticados. También es una brecha enviar un correo con datos a un destinatario equivocado, perder un USB sin cifrar, sufrir un ransomware que bloquea la información o que un antiguo empleado conserve accesos que ya no le corresponden. En todos esos casos hay datos personales comprometidos y, por tanto, posibles obligaciones legales.
Las brechas se clasifican habitualmente según afecten a la confidencialidad (acceso no autorizado), la integridad (alteración indebida) o la disponibilidad (pérdida de acceso a la información). Una misma incidencia puede afectar a varias de estas dimensiones a la vez.
El plazo que lo cambia todo: 72 horas
La obligación más conocida —y la que más nervios genera— es la de notificación. El artículo 33 del RGPD exige que, cuando una brecha entrañe un riesgo para los derechos y libertades de las personas afectadas, el responsable del tratamiento la notifique a la autoridad de control, en España la Agencia Española de Protección de Datos (AEPD), sin dilación indebida y, a ser posible, en un plazo máximo de 72 horas desde que tuvo constancia de ella.
Setenta y dos horas es muy poco tiempo si la organización no está preparada. Por eso la clave no está en improvisar cuando suena la alarma, sino en haber definido de antemano quién decide, quién documenta y quién comunica. Si por circunstancias justificadas no es posible notificar en plazo, la comunicación debe acompañarse de los motivos de la demora.
La notificación debe describir, como mínimo, la naturaleza de la brecha, las categorías y el número aproximado de afectados y de registros, las posibles consecuencias y las medidas adoptadas o propuestas para ponerle remedio.
Cuando hay que avisar también a las personas afectadas
Además de a la autoridad, en los casos más serios hay que informar a los propios afectados. El artículo 34 del RGPD obliga a comunicar la brecha a las personas cuando esta entrañe un alto riesgo para sus derechos y libertades: por ejemplo, si se han visto comprometidos datos bancarios, credenciales de acceso, datos de salud u otra información especialmente sensible que pueda derivar en fraude, suplantación de identidad o daños reputacionales.
La comunicación a los afectados debe hacerse en un lenguaje claro y sencillo, explicando qué ha pasado, qué riesgos existen y qué pueden hacer para protegerse —cambiar contraseñas, vigilar movimientos, desconfiar de comunicaciones sospechosas—. La transparencia, lejos de debilitar la posición de la empresa, suele reforzar la confianza y mitigar el daño.
Existen excepciones: si los datos estaban cifrados de forma robusta o si la organización ha adoptado medidas que neutralizan el alto riesgo, la comunicación individual puede no ser necesaria. Pero esa valoración debe documentarse con rigor.
Documentar siempre, aunque no se notifique
Un punto que muchas organizaciones pasan por alto: aunque se concluya que una brecha no exige notificación, toda violación de seguridad debe quedar registrada internamente. El RGPD obliga a documentar los hechos, sus efectos y las medidas correctoras adoptadas. Ese registro es la prueba de que la organización actuó con diligencia y constituye la primera línea de defensa ante una eventual inspección de la AEPD.
La ausencia de este registro, o una gestión improvisada y mal acreditada, agrava la posición de la empresa con independencia de la brecha en sí.
Cómo prepararse antes de que ocurra
La diferencia entre una crisis y un incidente gestionado se decide antes, no después. Algunas medidas resultan especialmente eficaces: contar con un protocolo interno de gestión de brechas que asigne responsabilidades y plazos; impartir formación periódica al personal, porque la mayoría de los incidentes tienen origen humano; aplicar medidas técnicas como el cifrado, las copias de seguridad y el control de accesos; y revisar los contratos con proveedores que tratan datos, exigiéndoles obligaciones claras de seguridad y de comunicación inmediata.
Igualmente, recomendable es realizar simulacros, del mismo modo que se ensayan los planes de evacuación. Una organización que ha practicado su respuesta reacciona con orden cuando llega el momento real.
Una obligación, pero también una oportunidad
Gestionar bien una brecha no es solo evitar sanciones —que pueden ser muy elevadas—, sino proteger lo más difícil de recuperar: la confianza de clientes, usuarios y empleados. Una empresa que comunica con honestidad actúa con rapidez y demuestra que tenía las cosas previstas sale reforzada incluso de un incidente grave.
En Cabet Abogados ayudamos a las organizaciones a anticiparse: diseñamos protocolos de respuesta, asesoramos en la notificación a la AEPD y a los afectados, y acompañamos en la gestión jurídica de las consecuencias. Porque ante una brecha de seguridad, cada hora cuenta, y la mejor defensa siempre se construye antes de necesitarla.
