Entrada de muestra · texto provisional
Pez Lúzida › Faro Legal › Privacidad y protección de datos · 10 sep 2026 · 3 min de lectura
Un correo enviado a quien no debía, un portátil robado, un ataque de ransomware. Cuando hay una brecha de datos personales, el reloj empieza a correr. Estas son las claves del RGPD para no perder el control.
¿Qué es una brecha de datos personales?
Es toda violación de la seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados (art. 4.12 RGPD). No hace falta un ciberataque: un error humano también cuenta.
Las 72 horas
El responsable del tratamiento debe notificar la brecha a la autoridad de control sin dilación indebida y, si es posible, en un plazo máximo de 72 horas desde que tenga constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas (art. 33 RGPD). Si la notificación llega más tarde, hay que explicar los motivos del retraso.
En España, la autoridad de control es la Agencia Española de Protección de Datos (AEPD), que dispone de la herramienta Comunica-Brecha RGPD para valorar si hay que notificar. En Cataluña, la Autoritat Catalana de Protecció de Dades es la autoridad competente respecto del sector público catalán.
¿Y a las personas afectadas?
Cuando la brecha entrañe un alto riesgo para sus derechos y libertades, también hay que comunicarla a los interesados sin dilación indebida y en un lenguaje claro y sencillo (art. 34 RGPD).
Documentar siempre
Todas las brechas —también las que no se notifican— deben documentarse: qué ha pasado, qué efectos ha tenido y qué medidas se han adoptado (art. 33.5 RGPD).
Lista de comprobación
- Contener el incidente y preservar las evidencias.
- Valorar el riesgo: qué datos, cuántas personas y qué consecuencias.
- Decidir si hay que notificar a la autoridad (72 h) y a las personas afectadas.
- Notificar a través de la sede electrónica de la autoridad competente.
- Anotar la brecha en el registro interno de incidentes.
- Revisar las medidas para evitar que se repita.
Para saber más
← Volver a Pez Lúzida¿Hablamos? Contacto →
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Para analizar tu caso concreto, contacta con el despacho.