Notificar una brecha de datos: el plazo de 72 horas del art. 33 del RGPD

La cuenta atrás de 72 horas para una brecha de datos no arranca con el ataque, sino con su detección: un ataque el lunes, descubierto el jueves, hace que el plazo solo corra desde el jueves. Según el art. 33 del RGPD, usted debe notificar una violación de la seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tenga constancia de ella, salvo que sea improbable que suponga un riesgo para los afectados.

Por la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es información general y no constituye asesoramiento jurídico.

¿Cuándo hay que notificar una brecha de datos?

Una brecha de datos debe notificarse cuando es probable que suponga un riesgo para los derechos y libertades de las personas afectadas. La notificación solo se omite si es improbable que exista un riesgo, y esa prueba le corresponde a usted (art. 33, apartado 1, del RGPD).

El art. 4, punto 12, del RGPD define la violación de la seguridad de los datos personales como la destrucción, la pérdida, la alteración o la divulgación no autorizada de datos personales, o el acceso no autorizado a ellos. Eso abarca desde el portátil de empresa perdido hasta el acceso por phishing a un buzón de correo, pasando por la lista de candidatos enviada por error.

Si los datos afectados estaban cifrados de forma eficaz y la clave permaneció bajo su control, a menudo no existe riesgo; no obstante, esto debe examinarse y documentarse caso por caso, y no presuponerse de forma generalizada. Para usted esto significa: examine cada incidente por separado en lugar de descartar una notificación con precipitación.

¿Cuándo empieza el plazo de 72 horas?

El plazo empieza con el conocimiento de la brecha, no con el incidente. Una brecha de datos solo se considera conocida por el responsable cuando una persona competente sabe con suficiente certeza que se ha producido un suceso sujeto a notificación; una sospecha vaga no basta.

Justo ahí está el cuello de botella decisivo: si una anomalía pasa varios días inadvertida en un buzón de correo o sobre un escritorio, se pierde un tiempo valioso antes de que el reloj siquiera empiece a correr.

Según el art. 33, apartado 5, del RGPD, usted debe documentar de todos modos cada violación, incluidos los hechos, los efectos y las medidas adoptadas, un elemento de la responsabilidad proactiva según el RGPD en general. Para usted esto significa: cuanto más rápido se reconozca internamente un incidente como brecha de datos, más margen queda dentro de las 72 horas.

¿Qué debe incluir la notificación a la autoridad de control?

La notificación conforme al art. 33, apartado 3, del RGPD debe contener como mínimo cuatro datos:

1. una descripción de la naturaleza de la violación, incluyendo, cuando sea posible, las categorías y el número aproximado de personas afectadas, así como de los registros de datos afectados;
2. el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto;
3. una descripción de las posibles consecuencias de la violación;
4. una descripción de las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus efectos.

Si en el momento de la notificación aún no se dispone de toda la información, el art. 33, apartado 4, del RGPD permite facilitarla de manera gradual, sin más dilación indebida.

Es competente la autoridad de control en cuyo territorio tenga usted su establecimiento principal, o la que sea competente para el caso concreto conforme al art. 55 del RGPD; en Alemania, según el estado federado, la autoridad regional de protección de datos correspondiente, normalmente a través de un portal de notificación en línea. Para usted esto significa: no espere a notificar hasta que los cuatro puntos estén completos: notifique dentro de plazo y complete la información después.

¿Cuándo hay que informar a los afectados?

Solo debe informar a los afectados en caso de alto riesgo, un umbral más elevado que el de la obligación de notificar a la autoridad (art. 34, apartado 1, del RGPD). La comunicación debe hacerse sin dilación indebida, en un lenguaje claro y sencillo, y contener los mismos datos esenciales que la notificación a la autoridad.

El art. 34, apartado 3, del RGPD menciona tres excepciones en las que no es necesaria la comunicación individual:

• medidas técnicas de protección adecuadas, como el cifrado, hicieron ininteligibles los datos para cualquier persona no autorizada;
• medidas posteriores han eliminado el alto riesgo;
• la comunicación individual supondría un esfuerzo desproporcionado: en ese caso basta una comunicación pública o una medida similar.

Para usted esto significa: examine dos veces el umbral de riesgo en cada brecha de datos: una para la autoridad y otra para los afectados.

¿Qué ocurre si la notificación se hace tarde?

Si se supera el plazo de 72 horas, el art. 33, apartado 1, segunda frase, del RGPD exige acompañar la notificación de una justificación del retraso. Una notificación tardía pero motivada está, por tanto, expresamente prevista: no constituye automáticamente un incumplimiento.

Si, en cambio, la notificación no se hace en absoluto o el retraso no se explica de forma plausible, la autoridad de control puede imponer una multa conforme al art. 83, apartado 4, del RGPD: de hasta 10 millones de euros o, en el caso de las empresas, de hasta el 2 % del volumen de negocio anual global del ejercicio anterior, optándose por la cuantía más alta.

A ello se suman el esfuerzo de una inspección por parte de la autoridad y la pérdida de confianza de clientes y empleados. Para usted esto significa: una notificación tardía pero motivada le protege mejor que ninguna.

¿Por qué son decisivos los empleados formados?

Los empleados formados son el factor decisivo porque el plazo de 72 horas solo empieza a correr cuando alguien en la empresa reconoce la brecha de datos como tal y la comunica internamente. Sin ese primer paso, el plazo ni siquiera puede cumplirse.

En la práctica, la obligación de notificar fracasa con menos frecuencia por la redacción del texto de la notificación: fracasa porque un comportamiento sospechoso ni siquiera se percibe como un incidente sujeto a notificación: un inicio de sesión inusual, un correo enviado a un destinatario equivocado, una memoria USB olvidada.

Los empleados que conocen la definición de brecha de datos y saben a quién dirigirse de inmediato dentro de la empresa acortan precisamente el lapso entre el incidente y el conocimiento, que es el que importa jurídicamente. Para usted esto significa: un cauce de comunicación interno claro no es un detalle administrativo, sino el requisito para que el plazo de 72 horas pueda cumplirse siquiera.

¿Qué debería preparar ya hoy?

El plazo de 72 horas no se puede improvisar en caso de emergencia: debe estar preparado antes de que ocurra nada. Cuatro pasos sientan la base:

1. Establecer el cauce de comunicación interno: ¿quién comunica una sospecha, a quién y en qué plazo debe hacerse la comunicación interna?
2. Guardar como favorito el portal de notificación de la autoridad regional competente, para que en caso de emergencia nadie tenga que buscarlo entonces.
3. Dejar los datos de contacto del delegado de protección de datos en un lugar central y hacerlos accesibles a todos los empleados.
4. Crear una plantilla de documentación conforme al art. 33, apartado 5, del RGPD, para que los hechos, los efectos y las medidas se registren desde el primer minuto.

Para usted esto significa: quien ha preparado estos cuatro puntos no pierde tiempo en organización en caso de emergencia y puede concentrarse en detectar y notificar.

Preguntas frecuentes (FAQ)

¿Cuentan los fines de semana y los festivos dentro de las 72 horas?

Sí. El plazo corre en horas, no en días laborables: un fin de semana o un festivo no lo interrumpe. Si la notificación se retrasa por ello, debería adjuntar una breve justificación (art. 33, apartado 1, del RGPD).

¿Quién está obligado a hacer la notificación?

Ante la autoridad de control, la obligación de notificar le corresponde a usted como responsable del tratamiento, es decir, por lo general a su propia empresa. Un encargado del tratamiento que constate una violación en su ámbito debe informarle sin dilación indebida conforme al art. 33, apartado 2, del RGPD, para que usted pueda notificar dentro de plazo.

¿Puedo completar una notificación con posterioridad?

Sí. El art. 33, apartado 4, del RGPD permite facilitar la información de forma gradual cuando en el momento de la notificación aún no se dispone de todos los datos. Notifique primero dentro de plazo y aporte la información que falte sin dilación indebida.

¿Debo notificar también si solo están afectados datos de empleados?

Sí. Los datos de los trabajadores son datos personales en el sentido del RGPD, a los que se aplica la misma obligación de notificar que a los datos de clientes o de interesados. Incluso una brecha de datos interna, por ejemplo una lista de salarios enviada por error, debe examinarse conforme a los cuatro criterios del art. 33, apartado 3, del RGPD.

Que una notificación sea posible dentro de plazo no se decide en el formulario de notificación, sino en la capacidad de reacción de la plantilla: solo quien reconoce una brecha de datos como tal y sabe a dónde comunicarla internamente pone en marcha el plazo de 72 horas. Precisamente esa detección y comunicación es lo que transmite de forma práctica la formación básica sobre RGPD de Provimedia, con un certificado de participación como prueba para los empleados y la empresa.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), art. 4, punto 12, art. 33, art. 34, art. 55, art. 83 – EUR-Lex
• Obligación de notificación para los responsables: violaciones de la seguridad de los datos personales, LDI NRW