Guía · 7 min de lectura

Brecha de datos en tu empresa: qué hacer y cuándo avisar a la AEPD

Un correo con datos de clientes enviado a la persona equivocada, un portátil perdido, una cuenta que alguien ha usado sin permiso. Todo eso puede ser una brecha de datos, y el reloj de las 72 horas ya está corriendo. Aquí tienes qué hacer, en orden y sin jerga.

Por Hugo Arribas Muñoz · Actualizado el 15 de octubre de 2026

Qué es una brecha de datos personales

Es un incidente de seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales. No hace falta que sea un ciberataque. También cuenta un error humano.

Enviar por correo una lista de clientes a quien no debía recibirla.
Perder o que te roben un portátil o un móvil con datos de clientes y sin cifrar.
Que alguien entre en tu correo o en tu programa de gestión con una contraseña robada.
Un ransomware que bloquea o roba archivos con datos personales.
Que una persona de la empresa consulte datos a los que no debería tener acceso.

¿Hay que avisar siempre a la AEPD?

No. Solo cuando es probable que la brecha suponga un riesgo para los derechos y libertades de las personas afectadas. Si es improbable, no hay que notificarla, pero sí documentarla dentro de tu empresa.

Para valorar el riesgo, piensa en qué datos se han visto afectados y qué podría hacer con ellos alguien malintencionado:

Riesgo probable: datos de salud, bancarios, DNI, contraseñas, datos de menores, o muchas personas a la vez. Con esos datos se puede suplantar a alguien o estafarle.
Riesgo improbable: por ejemplo, un dispositivo perdido pero con los datos bien cifrados, o un correo enviado a una persona de confianza que confirma que lo ha borrado sin abrirlo.

La AEPD ofrece en su web una herramienta de ayuda para decidir, pero la decisión final es del responsable, es decir, de tu empresa. Ante la duda, notifica o pide asesoramiento.

El plazo: 72 horas

La notificación se hace sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tienes constancia de la brecha. El reloj empieza cuando tienes una certeza razonable de que ha ocurrido, no cuando terminas de investigarla.

Si no llegas a tiempo, notifica igualmente e indica el motivo del retraso.
Si todavía no tienes toda la información, puedes notificar por fases: lo que sepas ahora y el resto cuando lo averigües.
Si eres un proveedor que trata datos por encargo de otra empresa, tu obligación es avisar sin demora a esa empresa, que es quien decide si notifica.

Cómo notificar

La notificación se hace a través del canal de brechas de la sede electrónica de la AEPD. Ten a mano, como mínimo:

Qué ha pasado: la naturaleza de la brecha y, si lo sabes, las categorías de datos y el número aproximado de personas y registros afectados.
Quién es la persona de contacto de tu empresa (o el delegado de protección de datos, si lo tienes).
Qué consecuencias puede tener para las personas afectadas.
Qué medidas has tomado o piensas tomar para frenarla y reducir el daño.

Cuándo hay que avisar también a las personas afectadas

Si el riesgo es alto, además de a la AEPD debes comunicárselo a las personas afectadas, con palabras claras: qué ha pasado, qué datos están afectados, qué consecuencias puede tener y qué pueden hacer ellas (cambiar una contraseña, vigilar su banco, desconfiar de mensajes raros). Puedes copiar este modelo y adaptarlo:

Plantilla de aviso a las personas afectadas

Asunto: Aviso sobre un incidente de seguridad que afecta a tus datos

Hola [nombre]:

El [fecha] detectamos un incidente de seguridad en [nombre de tu empresa] que ha afectado a [por ejemplo: tu nombre, correo y teléfono]. [No hemos detectado que se hayan visto afectados tus datos bancarios / contraseñas.]

Qué hemos hecho: [medidas: cerrar el acceso, cambiar claves, avisar a la AEPD…].

Qué puedes hacer tú: [por ejemplo: cambiar tu contraseña si usas la misma en otros sitios, desconfiar de correos o llamadas que digan ser nuestros y pidan datos o pagos].

Si tienes dudas, escríbenos a [correo de contacto] o llámanos al [teléfono]. Sentimos las molestias.

[Tu nombre y empresa]

Documenta siempre: el registro interno de brechas

Aunque decidas no notificar, guarda un registro de lo ocurrido. Si la AEPD pregunta, es lo que demuestra que actuaste con criterio. Apunta como mínimo:

Qué pasó, cuándo, y cuándo te enteraste.
Qué datos y cuántas personas estuvieron afectados.
Qué efectos tuvo o podría tener.
Qué medidas tomaste y quién las tomó.
Por qué decidiste notificar o no notificar.

Cómo reducir el riesgo de una brecha

Cifra portátiles y móviles de la empresa. Si se pierden, los datos no se pueden leer.
Activa el doble factor (2FA) en correo, programa de gestión y nube. Mira cómo detectar un correo falso, la puerta de entrada más común.
Da a cada persona solo el acceso que necesita.
Antes de enviar datos, repasa el destinatario. Usa copia oculta (CCO) cuando escribas a varias personas.
Borra lo que ya no necesitas. Lo que no se guarda, no se puede filtrar.
Ten copias de seguridad probadas, para recuperar datos sin negociar con nadie. Aquí tienes la regla 3-2-1.
Ten un plan escrito: quién avisa a quién y a qué número. La guía de ransomware sirve de base.

Preguntas frecuentes

¿Qué es una brecha de datos personales?

Es un incidente de seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales. Puede ser un ciberataque, pero también un error, como enviar un correo con datos a la persona equivocada.

¿En cuánto tiempo hay que avisar a la AEPD?

Sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tuviste constancia de la brecha. Si no llegas a tiempo, debes indicar el motivo del retraso. Si aún no tienes toda la información, puedes notificar por fases.

¿Hay que notificar todas las brechas?

No. Solo las que es probable que supongan un riesgo para los derechos y libertades de las personas. Las que no lo suponen no se notifican, pero sí hay que documentarlas en un registro interno.

¿Un ransomware cuenta como brecha de datos?

Si el ataque deja sin disponibilidad datos personales o pueden haber sido vistos o copiados, sí es una brecha: valora el riesgo y, si lo hay, notifica. Tienes los pasos del ataque en la guía de ransomware.

¿Qué pasa si no aviso cuando era obligatorio?

No notificar cuando corresponde puede acarrear sanciones. La cuantía depende de cada caso, así que si tienes dudas sobre si debes notificar, pide asesoramiento cuanto antes.

Soy proveedor y trato datos de otra empresa: ¿a quién aviso?

Debes avisar sin dilación a la empresa para la que tratas los datos. Es ella quien decide si hay que notificar a la AEPD y comunicarlo a las personas afectadas.

Sigue leyendo

Fuentes y más información

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.