En breve. Una brecha de datos es toda violación de seguridad que destruye, pierde, altera o expone datos personales. Cuando se detecta, el RGPD impone dos obligaciones con plazo: notificar a la Agencia Española de Protección de Datos (AEPD) sin dilación indebida y a más tardar en 72 horas (art. 33) y, si existe alto riesgo, comunicarla a los afectados (art. 34). El incumplimiento se sanciona conforme al artículo 83 del RGPD, con multas de hasta 20 M€ o el 4 % de la facturación anual global. El ciberseguro financia buena parte de la respuesta —forense, asesoría legal, comunicación y responsabilidad frente a terceros—, según las condiciones de cada póliza.
¿Qué es una brecha de datos personales?
El artículo 4.12 del RGPD la define con precisión: una violación de la seguridad de los datos personales es toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos. La definición es deliberadamente amplia y cubre tres dimensiones: confidencialidad (acceso indebido), integridad (alteración) y disponibilidad (pérdida o destrucción).
Conviene fijar el concepto desde el principio: no todo incidente de seguridad es una brecha de datos. Un ataque que solo afecta a sistemas sin datos personales es un incidente; se convierte en brecha cuando esos datos —de clientes, empleados, proveedores— se ven comprometidos. Esa calificación no es un matiz técnico: determina qué obligaciones legales se activan y en qué plazo.
Los escenarios más frecuentes en el ámbito corporativo son reconocibles: un ransomware que cifra y exfiltra bases de datos, el acceso no autorizado a un CRM tras un robo de credenciales, el envío erróneo de un fichero con datos a un destinatario equivocado, la pérdida de un portátil o dispositivo sin cifrar, o la publicación indebida de información por error de configuración. En todos ellos hay datos personales afectados y, por tanto, obligaciones que cumplir.
¿Su organización tiene un protocolo de respuesta a brechas verificado? Solicite una revisión sin compromiso y analizamos su exposición junto a su programa de seguros.
¿Cuánto tiempo tengo para notificar una brecha a la AEPD?
Es la pregunta que marca el reloj. El artículo 33 del RGPD establece que el responsable del tratamiento debe notificar la brecha a la autoridad de control competente —en España, la AEPD— sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella.
El plazo cuenta desde que la empresa tiene constancia de la brecha, no desde que se produjo. Y admite una excepción relevante: no es obligatorio notificar cuando sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas físicas. Esa valoración de riesgo debe documentarse: si se decide no notificar, hay que poder justificar por qué.
Si la notificación no se realiza en 72 horas, el RGPD permite hacerla más tarde acompañada de los motivos de la dilación, e incluso de forma escalonada cuando no se dispone de toda la información de golpe. En todo caso, el responsable debe documentar internamente toda brecha —hechos, efectos y medidas correctoras— en un registro que la AEPD puede requerir. Ese registro es, en la práctica, la prueba de diligencia de la organización.
Un matiz operativo para grandes cuentas: cuando su empresa actúa como encargada del tratamiento de un cliente, no notifica a la AEPD directamente, sino que debe avisar al responsable sin dilación indebida para que este cumpla el plazo. La cadena contractual importa tanto como el reloj.
¿Cuándo hay que comunicar la brecha a los afectados?
La segunda obligación es distinta de la primera y tiene un umbral más alto. El artículo 34 del RGPD exige comunicar la brecha a los interesados —las personas cuyos datos se han visto comprometidos— cuando sea probable que entrañe un alto riesgo para sus derechos y libertades, también sin dilación indebida.
No toda brecha notificable a la AEPD se comunica a los afectados: la AEPD se notifica ante un riesgo; a los afectados se les avisa solo ante un alto riesgo. La comunicación debe emplear un lenguaje claro y describir la naturaleza de la brecha, las posibles consecuencias y las medidas adoptadas o propuestas.
El propio artículo 34 prevé excepciones en las que no es necesario comunicar a los afectados, entre ellas: que el responsable haya aplicado medidas de protección que hagan los datos ininteligibles —típicamente, cifrado robusto— para quien no esté autorizado; que se hayan tomado medidas posteriores que eliminen la probabilidad de alto riesgo; o que la comunicación individual suponga un esfuerzo desproporcionado, en cuyo caso se recurre a una comunicación pública equivalente. La AEPD puede, además, exigir la comunicación si considera que el riesgo es alto.
¿Necesita ordenar sus obligaciones antes de que ocurra un incidente? Hablemos de su situación. Coordinamos el seguro con su plan de respuesta.
Sanciones por incumplimiento
El artículo 83 del RGPD gradúa las sanciones administrativas en dos niveles, según la obligación incumplida:
- Hasta 10.000.000 € o, en el caso de una empresa, el 2 % de la facturación anual global del ejercicio anterior, la cuantía que sea mayor. En este nivel entran, entre otras, las infracciones de las obligaciones de seguridad y de notificación de brechas (arts. 33 y 34).
- Hasta 20.000.000 € o el 4 % de la facturación anual global, la cuantía que sea mayor, para las infracciones más graves (principios del tratamiento, derechos de los interesados, transferencias internacionales).
La cuantía no es arbitraria. El artículo 83.2 obliga a graduar cada sanción atendiendo, entre otros factores, a la naturaleza, gravedad y duración de la infracción, su carácter intencional o negligente, las medidas adoptadas para mitigar los daños, la cooperación con la autoridad y las categorías de datos afectadas. En la práctica, una respuesta diligente y bien documentada es un factor atenuante; la ausencia de protocolo, un agravante. En España, la Ley Orgánica 3/2018 (LOPDGDD) complementa el régimen sancionador del RGPD.
No se trata de dramatizar la cifra, sino de dimensionar la exposición: para una gran cuenta, el 4 % de la facturación global puede superar con holgura el techo nominal de 20 M€. Es una magnitud que corresponde al comité de dirección, no solo al departamento de sistemas.
Cómo responder a una brecha, paso a paso
La calidad de la respuesta —y su coste— depende de haberla preparado antes. Un protocolo ordenado sigue, en esencia, estas fases:
- Contención. Aislar los sistemas afectados, revocar accesos comprometidos y detener la propagación. El objetivo es limitar el alcance antes de investigar.
- Análisis forense. Determinar qué ocurrió, qué datos se han visto afectados y a cuántas personas. De aquí sale la información que exige la notificación y la valoración de riesgo.
- Decisión de notificación. Con los hechos delante, decidir —y documentar— si procede notificar a la AEPD (art. 33) y si el riesgo es alto para comunicar a los afectados (art. 34), respetando las 72 horas.
- Comunicación. Preparar y ejecutar las comunicaciones a la autoridad, a los afectados y, cuando corresponda, la respuesta pública, con un mensaje claro y coherente.
- Lecciones aprendidas. Cerrar la brecha con medidas correctoras, actualizar el registro interno y revisar controles para reducir la reincidencia.
Cada fase consume recursos especializados —forenses, abogados, comunicación— que la mayoría de las organizaciones no tiene en plantilla. Ahí es donde la cobertura aseguradora deja de ser teórica.
¿Cubre el ciberseguro las sanciones y los costes de una brecha?
El seguro de ciberseguridad para empresas está diseñado, en buena parte, para financiar precisamente esta respuesta. Sin repetir aquí el detalle de coberturas del pilar, ante una brecha suele intervenir, según póliza, en varios frentes:
- Gestión de crisis y análisis forense: los servicios técnicos que determinan alcance y causa del incidente.
- Asesoría legal de notificación: el apoyo jurídico para cumplir los plazos y contenidos de los artículos 33 y 34.
- Costes de comunicación a los afectados: notificación individual, centros de atención y, en su caso, servicios de monitorización para los interesados.
- Responsabilidad civil frente a reclamaciones de terceros que se consideren perjudicados por la brecha.
- Defensa jurídica y, donde sea legalmente asegurable, las sanciones: la asegurabilidad de las multas administrativas del RGPD depende de la jurisdicción y de la póliza, un punto que conviene verificar caso por caso.
La palabra clave es asegurabilidad: no en todas las jurisdicciones ni en todas las pólizas la sanción administrativa es asegurable, y ese es un extremo que no debe darse por supuesto. Lo que sí suele estar cubierto —forense, legal, comunicación y responsabilidad frente a afectados— representa el grueso del coste real de una brecha. Encuadramos este ramo dentro del conjunto de nuestras áreas de cobertura para grandes cuentas, coordinado con el resto del programa.
Como correduría independiente, comparamos el alcance de las coberturas de respuesta a brechas entre compañías antes de recomendar una, porque el diablo está en las exclusiones y en los sublímites. El ciberseguro no sustituye al cumplimiento del RGPD: lo financia y lo acompaña.
Preguntas frecuentes
¿En cuánto tiempo hay que notificar una brecha de datos? A la AEPD, sin dilación indebida y a más tardar en 72 horas desde que se tiene constancia (art. 33 RGPD), salvo que sea improbable que suponga un riesgo para los afectados.
¿El seguro paga las multas del RGPD? Solo donde las sanciones administrativas sean legalmente asegurables; el ciberseguro suele cubrir defensa jurídica, gestión y responsabilidad frente a los afectados. La asegurabilidad de la multa depende de la jurisdicción y de la póliza.
¿Hay que avisar siempre a los afectados? No siempre: solo cuando la brecha entrañe alto riesgo para sus derechos (art. 34 RGPD); hay excepciones (p. ej. datos cifrados ininteligibles).
¿Qué diferencia hay entre un incidente de seguridad y una brecha de datos? No todo incidente es brecha; hay brecha cuando afecta a datos personales (destrucción, pérdida, alteración o acceso no autorizado). La calificación determina las obligaciones.
Fuentes y normativa
- Reglamento (UE) 2016/679 (RGPD), artículos 4.12 (definición de violación de la seguridad de los datos), 33 (notificación a la autoridad de control), 34 (comunicación a los interesados) y 83 (condiciones para la imposición de multas administrativas).
- Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) — desarrollo y régimen sancionador en España.
- Agencia Española de Protección de Datos (AEPD) — guía y sistema de notificación de brechas de seguridad de los datos personales.
- ENISA (Agencia de la Unión Europea para la Ciberseguridad) — recomendaciones sobre gestión de incidentes y notificación de brechas.
New Brokers es una correduría de seguros independiente inscrita en el registro de la DGSFP con la clave J0140. Este contenido es orientativo y no constituye asesoramiento jurídico ni vinculante; las coberturas, garantías y condiciones se rigen por cada póliza y compañía. Trabajamos por mandato del cliente, con acceso a todo el mercado —incluido Lloyd's— y defensa en el siniestro.
¿Quiere ordenar sus obligaciones ante una brecha y el seguro que las financia? Solicite el análisis de su exposición al ciberriesgo. Comparamos el mercado por usted.
