Una brecha de datos no empieza cuando aparece una noticia. Puede comenzar con un archivo enviado a la persona equivocada, un portátil perdido, una contraseña reutilizada o un acceso expuesto. La actualidad vuelve a poner el problema sobre la mesa: la Agencia Española de Protección de Datos ha registrado un fuerte aumento de las notificaciones recibidas durante 2026.
📊 Qué ha ocurrido
Según la AEPD, entre enero y junio de 2026 se recibieron 3.027 notificaciones de brechas de datos personales, frente a las 1.271 del mismo periodo de 2025. El incremento fue del 138 % y la cifra del primer semestre de 2026 superó todas las notificaciones recibidas durante 2025.
La Agencia relaciona esta evolución con los ciberincidentes, el ransomware y los problemas que pueden producirse en proveedores que tratan datos para varias empresas. El dato no significa que todas las organizaciones estén incumpliendo, pero sí que la gestión de incidentes no conviene improvisarla.
🏢 Por qué importa a una pyme
Una empresa pequeña también trata nombres, teléfonos, correos, direcciones, facturas, historiales de clientes o información de empleados. Una brecha puede afectar a la confidencialidad, integridad o disponibilidad de esa información, aunque no exista un robo confirmado.
- Un correo enviado con destinatarios visibles.
- Un ordenador perdido sin protección suficiente.
- Una cuenta comprometida por reutilizar contraseñas.
- Un proveedor que sufre un incidente.
La respuesta no debería depender de que una sola persona recuerde qué hacer. Tener responsables, accesos controlados y trazabilidad facilita actuar con rapidez y demostrar diligencia.
La mejor respuesta ante una brecha empieza antes del incidente: con un procedimiento conocido y probado.
🔎 Qué se considera una brecha
La AEPD incluye la destrucción, pérdida o alteración accidental o ilícita de datos personales, además de su comunicación o acceso no autorizado. No hace falta una filtración masiva para analizar lo sucedido.
La primera pregunta no es si habrá una sanción, sino qué datos se han visto afectados, quién puede haber accedido y qué riesgo existe para las personas. Documentar esa valoración es importante incluso cuando se concluye que no hay que notificar.
⏱️ El plazo que no conviene ignorar
Cuando sea probable que la brecha entrañe un riesgo para los derechos y libertades, el responsable debe notificarla a la autoridad de control. La AEPD explica que el plazo general es de 72 horas desde que la organización tiene constancia del incidente.
Si el riesgo es alto, también puede ser necesario comunicar la brecha a las personas afectadas. La información de la AEPD indica que esa comunicación debe ser clara e incluir el incidente, sus posibles consecuencias y las medidas adoptadas.
🧭 Qué debe hacer la empresa
En las primeras horas conviene separar la contención técnica de la valoración legal. Una checklist sencilla ayuda a no olvidar pasos esenciales:
- Registrar cuándo se detectó el incidente y quién lo comunicó.
- Contener el acceso comprometido sin destruir evidencias.
- Identificar sistemas, datos y personas afectadas.
- Valorar el riesgo y decidir si procede notificar o comunicar.
- Dejar constancia de las medidas correctivas.
También hay que revisar si interviene un encargado del tratamiento: un incidente en un proveedor puede afectar a varios responsables.
🛡️ La prevención empieza antes
Prevenir no consiste solo en comprar herramientas. Consiste en ordenar procesos y limitar oportunidades de error. Un software de gestión para asesorías o cualquier sistema con permisos definidos puede ayudar a localizar la información y saber quién ha accedido.
- Revisar permisos cuando cambia el equipo.
- Activar autenticación reforzada en servicios críticos.
- Formar al personal para detectar mensajes sospechosos.
- Probar que las copias de seguridad pueden restaurarse.
Conviene revisar también cómo se protegen los datos al utilizar nuevas herramientas, incluida la inteligencia artificial.
✅ Una noticia que invita a revisar procesos
El aumento de notificaciones no debe llevar a las pymes a actuar con miedo, sino con método. El RGPD exige responsabilidad proactiva: conocer los tratamientos, aplicar medidas adecuadas al riesgo y poder explicar qué se hizo cuando ocurre un incidente.
Una revisión periódica de accesos, proveedores, copias y protocolos puede evitar que una incidencia pequeña se convierta en un problema mayor.
💬 ¿Tu empresa sabría qué hacer durante las primeras horas después de detectar una brecha de datos?
La protección de datos también se demuestra cuando la empresa sabe reaccionar, informar y aprender de cada incidente.
La AEPD recibe más de 3.000 notificaciones de brechas de datos en seis meses