Implantar un proceso para brechas de datos: notificación RGPD en 72 horas

Cuando en su empresa se pierden, se roban o se divulgan por error datos personales, desde el momento en que usted lo conoce empieza a correr un reloj: el RGPD exige una notificación a la autoridad de control competente en el plazo de 72 horas. Sin un proceso preparado y con responsabilidades claras, en la práctica este plazo apenas se puede cumplir, porque la valoración del riesgo, la documentación y la notificación deben confluir en muy poco tiempo.

En breve: Ante una violación de la seguridad de los datos personales que suponga un riesgo para los afectados, debe informar a la autoridad de control en un plazo de 72 horas según los arts. 33/34 RGPD; si el riesgo es alto, además debe comunicarse a los afectados. Está afectada toda empresa que trate datos personales: sin un proceso preparado, se arriesga a una multa de hasta 10 millones de euros o el 2 % del volumen de negocio anual.

¿A quién afecta?

La obligación de notificar las brechas de datos afecta en principio a toda empresa que trate datos personales, con independencia del sector o del tamaño. Va desde el empresario individual con una base de datos de clientes, pasando por la tienda en línea con datos de pedidos, hasta la empresa con datos de empleados en el departamento de personal. Quien recurre a proveedores de servicios como proveedores de nube o soporte informático externo sigue siendo responsable en materia de protección de datos y debería conseguir de ellos, por contrato, la garantía de ser informado sin demora en caso de incidente. En cuanto se produce una violación de la seguridad de los datos personales y de ella resulta un riesgo para las personas afectadas, se aplican los arts. 33/34 RGPD, con independencia de que el incidente lo provoque un ataque informático, un portátil extraviado o un correo electrónico enviado por error. Qué obligaciones valen en concreto para su empresa lo muestra una herramienta como Company Audit.

¿Qué debe hacer usted en concreto?

Un proceso operativo para el caso grave consta de pocos componentes, pero claramente definidos. Prepárelos antes de que ocurra un incidente: en el caso grave ya no queda tiempo para ello, porque el reloj corre desde el momento en que alguien de la empresa se entera de la avería:

1. Fijar el canal interno de comunicación: ¿quién debe ser informado de inmediato ante un incidente de seguridad?
2. Preparar una lista de comprobación para la valoración del riesgo (qué datos, cuántos afectados, qué riesgo).
3. Tener a mano un modelo para la notificación a la autoridad de control.
4. Preparar un modelo para la comunicación a los afectados en caso de riesgo alto.
5. Documentar los incidentes y las decisiones de notificación, aunque al final no se notifique.

Determine además quién coordina el proceso en caso grave: normalmente la dirección, junto con un posible delegado de protección de datos designado. Cuanto más claras estén las responsabilidades de antemano, menos tiempo se pierde en las primeras horas tras conocerse un incidente.

¿Hasta cuándo y con qué frecuencia debe notificar?

El plazo es de 72 horas desde que se tiene conocimiento de la brecha de datos, y se trata de 72 horas naturales, no de días laborables. Un incidente un viernes por la tarde no le da, por tanto, hasta el lunes: el plazo sigue corriendo durante todo el fin de semana. Es determinante el momento en que en la empresa existe suficiente certeza sobre el incidente, y no el final de una investigación interna completa. No hay una repetición fija como en otras obligaciones: la obligación de notificar nace de forma puntual, en cuanto se produce realmente una brecha de datos con riesgo para los afectados. Precisamente por eso el proceso debe estar siempre listo para actuar y no pensarse una sola vez al año.

¿Qué ocurre en caso de incumplimiento?

Si se incumple el plazo de notificación o se omite por completo, se arriesgan multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual. El importe que se imponga en un caso concreto depende de la gravedad y de las circunstancias de la infracción. Además del riesgo de multa, las brechas de datos que se hacen públicas sin un proceso sólido acarrean pérdida de confianza entre clientes y socios comerciales, así como un esfuerzo considerable por los requerimientos de las autoridades. Un proceso documentado y consultable en cualquier momento no es, por tanto, una mera formalidad, sino la protección más eficaz frente a una notificación tardía o inexistente.

Preguntas frecuentes

¿Qué se considera una brecha de datos notificable?

Es notificable toda violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades de las personas afectadas, por ejemplo la pérdida, el robo o la divulgación no autorizada de datos de clientes o de empleados. Si existe un riesgo lo aclara la lista de comprobación para la valoración del riesgo elaborada de antemano.

¿Debo notificar todos los incidentes a la autoridad de control?

No, solo son notificables, según los arts. 33/34 RGPD, los incidentes con riesgo para los afectados. No obstante, también los incidentes no notificables conviene documentarlos internamente para poder demostrarlo en caso de duda.

¿Cuál es la diferencia entre notificación y comunicación?

La notificación según el art. 33 RGPD se dirige a la autoridad de control y es exigible ante cualquier riesgo. La comunicación según el art. 34 RGPD se dirige además a las propias personas afectadas y solo es necesaria cuando el riesgo es alto.

¿Cuentan los fines de semana en el plazo de 72 horas?

Sí. Las 72 horas son horas naturales, no días laborables. El plazo corre, por tanto, de forma ininterrumpida también en fines de semana y festivos: un incidente un viernes puede, así, tener que notificarse ya el domingo.

¿Qué debería preparar antes de que ocurra un incidente?

Fije de antemano un canal interno de comunicación, una lista de comprobación para la valoración del riesgo y modelos de notificación y comunicación, y documente cada incidente, aunque al final no sea notificable. Así no pierde tiempo en el caso grave buscando responsables o formulaciones.

Fuente: arts. 33/34 RGPD. Esta entrada es una información general y no sustituye al asesoramiento jurídico en un caso concreto. Fecha: julio de 2026.