Una brecha de datos no se gestiona bien solo porque la empresa consiga cerrar el acceso comprometido. También hay que valorar el riesgo, decidir si procede notificar y dejar constancia de lo ocurrido. La actualización de los recursos de la Agencia Española de Protección de Datos ofrece una buena ocasión para revisar si una pyme está preparada.
📰 Qué recuerda ahora la AEPD
La página de la AEPD sobre notificación de brechas, actualizada el 14 de septiembre de 2026, define qué debe entenderse por brecha y explica las decisiones que corresponden al responsable del tratamiento.
Una brecha puede consistir en la destrucción, pérdida o alteración accidental o ilícita de datos personales, pero también en una comunicación o acceso no autorizado. No hace falta una filtración masiva para analizar lo ocurrido.
🔎 La primera obligación es valorar el riesgo
El responsable debe analizar qué datos se han visto afectados, cuántas personas pueden estar implicadas, quién ha podido acceder y qué consecuencias podrían producirse. La valoración debe centrarse en los derechos y libertades de las personas, no solo en el daño económico para la empresa.
- Datos identificativos expuestos por error.
- Acceso no autorizado a clientes o empleados.
- Pérdida de disponibilidad de información necesaria.
- Riesgo de fraude, suplantación o perjuicio.
Documentar el razonamiento es importante incluso cuando se concluye que no existe obligación de notificar.
No notificar no significa no hacer nada: siempre hay que analizar y documentar la brecha.
⏱️ Cuándo hay que notificar
Cuando sea probable que la brecha entrañe un riesgo para los derechos y libertades, debe notificarse a la autoridad de control. La AEPD indica que, con carácter general, el plazo es de 72 horas desde que la organización tiene constancia del incidente.
Si el riesgo es alto, además puede ser necesario informar a las personas afectadas. La guía de la AEPD sobre comunicación explica que el aviso debe incluir el incidente, sus posibles consecuencias y las medidas adoptadas.
🧾 Qué debe contener el procedimiento interno
Una pyme no necesita un documento complicado, pero sí un protocolo que indique quién actúa y qué información debe recopilarse:
- Un canal interno para comunicar incidentes.
- Una persona responsable de coordinar la respuesta.
- Un inventario de sistemas, proveedores y tratamientos afectados.
- Una plantilla para registrar fechas, hechos, riesgos y decisiones.
- Una lista de contactos técnicos y legales.
El protocolo debe estar accesible y revisarse periódicamente. Un procedimiento que nadie conoce no sirve cuando el incidente ocurre fuera del horario habitual.
🛡️ La seguridad debe adaptarse al riesgo
El artículo 32 del RGPD obliga a establecer medidas técnicas y organizativas adecuadas al riesgo. La AEPD explica que la empresa debe evaluar los riesgos y aplicar medidas para mitigarlos.
- Limitar accesos según las funciones.
- Revisar permisos cuando cambia el equipo.
- Proteger dispositivos y cuentas críticas.
- Mantener copias y comprobar que pueden restaurarse.
- Controlar qué proveedores acceden a datos.
La seguridad debe revisarse al incorporar una herramienta, cambiar un proveedor o empezar a tratar una nueva categoría de datos.
🤝 El proveedor también forma parte del análisis
Una brecha puede producirse en una plataforma de reservas, un servicio de correo, un alojamiento web o un programa de gestión. Conviene saber qué proveedores tratan datos, cómo avisan de los incidentes y qué responsabilidades recoge el contrato.
Centralizar clientes, documentos y procesos en una solución con permisos definidos puede ayudar a reducir información dispersa, especialmente en negocios como las asesorías fiscales, contables y laborales.
✅ Una revisión práctica para esta semana
Conviene responder por escrito a cuatro preguntas: ¿a quién avisaría el equipo?, ¿qué proveedores acceden a datos?, ¿podemos reconstruir qué ocurrió? y ¿quién decidiría si hay que notificar?
También puedes ampliar la revisión con nuestra checklist de protección de datos y comprobar si las copias permiten recuperar la operativa en una prueba de restauración.
💬 ¿Tu empresa sabría qué hacer durante la primera hora después de detectar una brecha?
La protección de datos se demuestra antes, durante y después del incidente: con medidas adecuadas, decisiones documentadas y capacidad de aprender.
La AEPD actualiza su guía sobre brechas de datos: qué debe tener preparado una pyme