Aplicable en España — basado en normativa española (BOE).Las 72 horas que tiene una empresa para avisar de una fuga de datos
Resumen rápido: La brecha de seguridad de datos personales -«violación de la seguridad de los datos personales» en el texto oficial del Reglamento General de Protección de Datos- es todo incidente que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales: el artículo 33 obliga al responsable a notificarla a la autoridad de control, como regla general, en un plazo máximo de setenta y dos horas desde que tuvo constancia de ella.
Definición flash: Incidente que provoca pérdida, alteración o acceso no autorizado a datos personales, con notificación obligatoria en 72h a la autoridad (art. 33 RGPD).
Etiqueta lingüística
«Brecha» es el término popularizado por el uso mediático y técnico -del inglés data breach-, mientras que el RGPD emplea la expresión más formal «violación de la seguridad de los datos personales». Ambas designan el mismo fenómeno, aunque solo la segunda es la terminología oficial del reglamento.
Definición técnica
En sentido técnico, el artículo 33.1 del RGPD obliga al responsable del tratamiento a notificar la violación de la seguridad a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar setenta y dos horas después de tener constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas físicas. Si la notificación no se hace dentro de ese plazo, debe acompañarse de la indicación de los motivos de la dilación. El artículo 34 añade una obligación adicional: cuando sea probable que la violación entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable debe comunicarla también directamente al interesado, sin dilación indebida, en un lenguaje claro y sencillo.
Aplicación práctica
En la práctica, la gestión de una brecha de seguridad exige actuar con rapidez desde el primer momento: identificar el alcance del incidente, valorar el riesgo real para los afectados, y decidir si procede notificar solo a la autoridad de control o también directamente a las personas cuyos datos se han visto comprometidos. Este segundo aviso, al interesado, solo es obligatorio cuando el riesgo es alto -por ejemplo, si se han expuesto contraseñas, datos financieros o de salud-, mientras que la notificación a la autoridad de control es la regla general salvo que el riesgo sea improbable. Las empresas suelen tener protocolos internos de respuesta a incidentes precisamente para poder cumplir el plazo de setenta y dos horas, que empieza a correr desde que se tiene constancia del incidente, no desde que ocurrió realmente.
Contexto legal en España
La brecha de seguridad de datos personales se regula en los artículos 33 y 34 del Reglamento General de Protección de Datos: la notificación a la autoridad de control en el primero, y la comunicación al interesado en el segundo.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Ciberataque
- Un ciberataque es una de las posibles causas de una brecha de seguridad, pero no la única: errores humanos, fallos técnicos o pérdidas físicas de dispositivos también pueden constituir una violación de la seguridad de los datos.
- Incidente de seguridad informática (en general)
- No todo incidente de seguridad informática afecta a datos personales ni exige notificación conforme al RGPD: la brecha de seguridad de datos personales es específicamente la que compromete datos de personas físicas identificadas o identificables.
- Prueba ilícita
- La prueba ilícita es un concepto procesal sobre cómo se obtuvo una prueba en un litigio. La brecha de seguridad es un concepto de protección de datos sobre un incidente que compromete su confidencialidad, integridad o disponibilidad, sin relación necesaria con un proceso judicial.
Términos relacionados
La idea
Cuando los datos personales que maneja una organización se ven comprometidos -por un ciberataque, un error humano o un fallo técnico-, la ley impone plazos y obligaciones concretas de notificación, precisamente porque el tiempo de reacción puede limitar el daño a las personas afectadas.
Las dos notificaciones posibles
El RGPD distingue dos niveles de comunicación:
- A la autoridad de control (art. 33): obligatoria como regla general, en un plazo de 72 horas
- Al interesado (art. 34): solo cuando la violación entrañe un alto riesgo para sus derechos y libertades
Desde cuándo corre el plazo
Las 72 horas se cuentan desde que el responsable tuvo constancia de la violación, no desde que esta ocurrió realmente: la detección tardía de un incidente no exime de la obligación, pero desplaza el momento en que empieza a correr el plazo.
Dato de autoridad
Un dato con relevancia práctica real: el plazo de setenta y dos horas del artículo 33 no empieza a contar desde que ocurrió técnicamente la brecha, sino desde que el responsable tuvo constancia de ella -una distinción importante porque muchos incidentes de seguridad se detectan días o semanas después de haberse producido realmente-.
Encuentra un abogado
Preguntas frecuentes sobre brecha de seguridad de datos personales
¿Qué es una brecha de seguridad de datos personales?
Un incidente que provoca la destrucción, pérdida, alteración o acceso no autorizado a datos personales -el RGPD la llama oficialmente «violación de la seguridad de los datos personales»-.
¿En cuánto tiempo hay que notificar una brecha de seguridad?
Como regla general, en un plazo máximo de 72 horas desde que el responsable tuvo constancia de ella, según el artículo 33 del RGPD, salvo que sea improbable que suponga un riesgo para los afectados.
¿Siempre hay que avisar directamente a los afectados?
No. Solo cuando sea probable que la violación entrañe un alto riesgo para sus derechos y libertades, según el artículo 34 del RGPD.
¿Desde cuándo cuentan las 72 horas?
Desde que el responsable tuvo constancia de la violación, no desde el momento en que esta ocurrió realmente, que puede ser anterior si la detección fue tardía.
¿"Brecha de seguridad" es el término que usa literalmente el RGPD?
No exactamente: el RGPD emplea la expresión oficial «violación de la seguridad de los datos personales». «Brecha» es el término popularizado en el uso técnico y mediático para el mismo concepto.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.