Bretxa de seguretat: què cal fer en les primeres 72 hores

Entrada de mostra · text provisional

Pez Lúzida › Far Legal › Privacitat i protecció de dades · 10 set. 2026 · 3 min de lectura

Un correu enviat a qui no tocava, un portàtil robat, un atac de ransomware. Quan hi ha una bretxa de dades personals, el rellotge comença a córrer. Aquestes són les claus del RGPD per no perdre’n el control.

Què és una bretxa de dades personals?

És tota violació de la seguretat que provoqui la destrucció, la pèrdua o l’alteració accidental o il·lícita de dades personals, o la comunicació o l’accés no autoritzats a aquestes dades (art. 4.12 RGPD). No cal un ciberatac: un error humà també hi compta.

Les 72 hores

El responsable del tractament ha de notificar la bretxa a l’autoritat de control sense dilació indeguda i, si és possible, en un termini màxim de 72 hores des que en tingui constància, llevat que sigui improbable que comporti un risc per als drets i les llibertats de les persones (art. 33 RGPD). Si la notificació arriba més tard, cal explicar els motius del retard.

A l’Estat espanyol, l’autoritat de control és l’Agència Espanyola de Protecció de Dades (AEPD), que disposa de l’eina Comunica-Brecha RGPD per valorar si cal notificar. A Catalunya, l’Autoritat Catalana de Protecció de Dades és l’autoritat competent respecte del sector públic català.

I a les persones afectades?

Quan la bretxa comporti un risc alt per als seus drets i llibertats, també cal comunicar-la a les persones interessades sense dilació indeguda i en un llenguatge clar i senzill (art. 34 RGPD).

Documentar sempre

Totes les bretxes —també les que no es notifiquen— s’han de documentar: què ha passat, quins efectes ha tingut i quines mesures s’han adoptat (art. 33.5 RGPD).

RGPDBretxes de seguretatAEPD

← Tornar a Pez LúzidaEn parlem? Contacte →

Aquest article té caràcter informatiu i no constitueix assessorament jurídic. Per analitzar el teu cas concret, contacta amb el despatx.