Cómo Notificar una Brecha de Seguridad a la AEPD (Guía 2026)

Descubrir que has sufrido una brecha de seguridad que afecta a datos personales genera, casi siempre, una primera reacción de bloqueo: ¿hay que notificarlo?, ¿a quién?, ¿en qué plazo? Esta guía responde a esas preguntas de forma práctica, siguiendo el proceso que establece el RGPD. Si todavía no tienes claras tus obligaciones generales, te recomendamos leer antes nuestra guía de RGPD para autónomos.

Resumen rápido: si una brecha puede suponer un riesgo para las personas afectadas, debes notificarla a la AEPD sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tienes constancia. Documenta siempre cualquier brecha, la notifiques o no.

Qué es exactamente una brecha de seguridad

El RGPD la define como «violación de la seguridad de los datos personales»: cualquier incidente que provoque la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados. Se distinguen tres tipos según qué se ve comprometido:

• Brecha de confidencialidad, cuando alguien no autorizado accede a los datos (un correo enviado al destinatario equivocado, un acceso indebido a un sistema).
• Brecha de integridad, cuando los datos se alteran de forma no autorizada o accidental.
• Brecha de disponibilidad, cuando se pierde el acceso a los datos, por ejemplo tras un ataque de ransomware, aunque no exista robo de información.

Primer paso: evalúa si existe obligación de notificar

No toda brecha debe notificarse a la AEPD. El criterio legal es claro: solo es obligatorio notificar cuando sea probable que la brecha suponga un riesgo para los derechos y libertades de las personas afectadas. Si, tras una valoración razonada, concluyes que es improbable que exista ese riesgo, no tienes obligación de notificar.

Eso sí, debes documentar internamente todas las brechas, se notifiquen o no (art. 33.5 del RGPD): qué ocurrió, sus efectos, por qué se descartó el riesgo y qué medidas se tomaron. Esa documentación es la que podrá pedirte la AEPD para justificar tu decisión.

Para ayudarte en esta valoración, la AEPD ofrece la herramienta gratuita Asesora Brecha, enlazada desde su página oficial de notificación de brechas. La propia Agencia aclara que es una ayuda y que no sustituye tu decisión como responsable.

Esta tabla resume qué hacer según el nivel de riesgo:

Nivel de riesgo	Notificar a la AEPD
Comunicar a los afectados	Documentar la brecha
Improbable que haya riesgo	No
No	Sí
Hay riesgo para los derechos y libertades	Sí, en un máximo de 72 horas
No necesariamente	Sí
Alto riesgo	Sí, en un máximo de 72 horas
Sí, sin dilación indebida	Sí

El plazo de 72 horas: desde cuándo empieza a contar

Si concluyes que existe obligación de notificar, el RGPD exige hacerlo sin dilación indebida y, de ser posible, a más tardar 72 horas después de que hayas tenido constancia de la brecha. Hay tres matices importantes:

• Es el momento en que tienes constancia, no el del incidente. Se entiende que la organización tiene constancia cuando existe un grado razonable de certeza de que ha ocurrido un incidente que compromete datos personales. No esperes a tener el diagnóstico completo para notificar, y no retrases la investigación inicial: si un empleado detecta un acceso sospechoso un viernes por la tarde, no lo dejes para el lunes.
• Son horas naturales. Los fines de semana y los festivos cuentan.
• Si no llegas a tiempo, la notificación debe acompañarse de los motivos del retraso.

Por eso es tan importante tener un protocolo claro y conocido de antemano: ante una brecha real no hay tiempo para decidir desde cero quién hace qué. Te explicamos cómo prepararlo en nuestra guía de plan de contingencia ante un ciberataque para pymes.

Cómo notificar una brecha de seguridad a la AEPD en la práctica

La notificación se realiza exclusivamente de forma electrónica, mediante el formulario de notificación de brechas de datos personales de la Sede Electrónica de la AEPD. Antes de necesitarlo, localiza el formulario y comprueba qué sistema de identificación electrónica te exige la Sede, para no descubrirlo en mitad del incidente.

A través de ese formulario puedes presentar dos tipos de notificaciones:

• Una nueva notificación de brecha.
• Una notificación de modificación, para completar o corregir una notificación anterior.

Esto es útil porque en las primeras horas rara vez conoces todo el alcance del incidente. Puedes presentar una notificación inicial dentro del plazo con la información de que dispongas y completarla después, en cuanto tengas datos más precisos. Es mejor notificar a tiempo con información parcial que esperar a tenerlo todo y pasarte del plazo.

Qué información debe incluir la notificación

El contenido mínimo que exige el artículo 33.3 del RGPD, y que el formulario de la AEPD organiza por apartados, incluye:

• Descripción de la naturaleza de la brecha, con, si es posible, las categorías y el número aproximado de personas afectadas, y las categorías y el número aproximado de registros de datos afectados. Tener al día tu registro de actividades de tratamiento te ayuda a identificar con rapidez qué datos estaban implicados.
• Datos de contacto del delegado de protección de datos, si tu negocio cuenta con uno, o de otro punto de contacto donde pueda obtenerse más información.
• Descripción de las consecuencias probables de la brecha para las personas afectadas.
• Descripción de las medidas adoptadas o propuestas para poner remedio a la brecha y, en su caso, mitigar sus posibles efectos negativos.

Si eres encargado del tratamiento

Si tratas datos por cuenta de otra empresa (por ejemplo, una asesoría, un proveedor de hosting o de software), la obligación de notificar a la AEPD recae en el responsable. Tú debes avisarle sin dilación indebida en cuanto tengas constancia de la brecha (art. 33.2 del RGPD). Revisa el contrato de encargo, porque suele fijar cómo y en cuánto tiempo debes hacerlo. La guía de la AEPD sobre brechas detalla además cómo funciona la notificación cuando interviene un encargado.

Cuándo hay que comunicar la brecha también a los afectados

Existe un segundo nivel de obligación, regulado en el artículo 34 del RGPD, con un umbral más exigente: cuando la brecha pueda entrañar un alto riesgo para los derechos y libertades de las personas, debes comunicárselo también directamente a ellas, no solo a la AEPD. La comunicación debe hacerse sin dilación indebida, en un lenguaje claro y sencillo, describiendo la naturaleza de la brecha e incluyendo recomendaciones concretas para que puedan protegerse, por ejemplo cambiar una contraseña comprometida.

El artículo 34.3 prevé excepciones, entre ellas:

• Que los datos afectados estuvieran protegidos con medidas técnicas adecuadas, como un cifrado que los haga ininteligibles para quien accede a ellos.
• Que hayas tomado medidas posteriores que garanticen que ya no es probable el alto riesgo.
• Que comunicarlo individualmente suponga un esfuerzo desproporcionado, en cuyo caso se sustituye por una comunicación pública.

No todas las brechas notificadas a la AEPD alcanzan este segundo umbral, y la valoración de ambos niveles debe hacerse por separado. Para el segundo, la AEPD dispone de la herramienta Comunica-Brecha RGPD. Además, la Agencia puede exigirte que informes a los afectados si considera que debías hacerlo.

Si tu empresa está dentro del ámbito de la directiva NIS2, ten en cuenta que existe un régimen de notificación distinto, con plazos propios: un mismo incidente puede activar ambas obligaciones a la vez.

Ejemplos prácticos para entenderlo mejor

Una tienda online sufre un acceso no autorizado

Se exponen nombres, correos electrónicos y contraseñas de varios miles de clientes. Si las contraseñas están protegidas con un método débil, pueden ser descifradas mediante ataques automatizados, lo que probablemente exige notificar tanto a la AEPD como a los clientes afectados. Repasamos las medidas preventivas para este tipo de negocio en cómo proteger una tienda online de ataques informáticos.

Una asesoría envía por error un documento con datos fiscales

El documento llega a un destinatario equivocado. Si el receptor confirma de inmediato su borrado y no hay indicios de un uso indebido posterior, es posible que, tras una valoración razonada, se concluya que no hay riesgo suficiente para notificar a la AEPD. Aun así, hay que documentar el incidente y la decisión.

Un pequeño negocio sufre un ataque de ransomware

El ataque cifra los archivos del sistema de facturación, que incluye datos de clientes, sin evidencia de que se hayan copiado. Es una brecha de disponibilidad, no necesariamente de confidencialidad, pero la pérdida de acceso a esos datos puede suponer un riesgo que obligue a notificar. Depende de lo críticos que sean, del tiempo que tarde la recuperación y de si dispones de copias de seguridad automáticas para restaurarlos. Comprueba además que no ha habido exfiltración de información antes de descartar el riesgo.

Qué ocurre si no notificas en plazo o lo haces de forma incorrecta

El incumplimiento de las obligaciones de los artículos 33 y 34 del RGPD puede sancionarse con multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global, la cifra que resulte mayor. Pero hay un matiz que genera miedo innecesario: notificar una brecha en tiempo y forma no abre automáticamente un procedimiento sancionador contra tu negocio. Al contrario, es una muestra de diligencia y responsabilidad proactiva.

Lo sancionable es no notificar cuando existía obligación de hacerlo, o hacerlo fuera de plazo sin justificación razonable. Repasaremos cómo se materializan estas sanciones en una guía sobre casos reales de sanciones por incumplimiento del RGPD.

Primeras acciones ante una brecha, antes incluso de notificar

• Activa tu protocolo de respuesta a incidentes, si ya cuentas con uno, o reúne de inmediato a las personas clave (responsable técnico, dirección y asesor legal o de protección de datos si es necesario). Si todavía no lo tienes, empieza por nuestro plan de contingencia ante un ciberataque y por la checklist de ciberseguridad para pequeñas empresas.
• Contén el incidente (aísla el sistema afectado) sin destruir evidencias que puedan ser necesarias para entender el alcance real.
• Evalúa el tipo de brecha (confidencialidad, integridad o disponibilidad) y estima, de forma razonada, el riesgo para las personas afectadas.
• Documenta todo desde el primer momento: qué ocurrió, cuándo se detectó, quién lo detectó y qué medidas se han tomado. Esta documentación sirve para la notificación y para tu registro interno.
• Notifica a la AEPD dentro de las 72 horas si la valoración de riesgo lo exige, aunque sea con información parcial.
• Valora por separado la comunicación a los afectados, según el criterio de alto riesgo del artículo 34.
• Avisa a tu aseguradora si tienes un seguro de ciberriesgo: muchas pólizas exigen comunicar el siniestro en plazos muy concretos.

Preguntas frecuentes

Consejo de PymeCiber

Prepara la notificación antes de necesitarla. Localiza hoy el formulario de la Sede Electrónica de la AEPD, comprueba que alguien de tu equipo puede identificarse electrónicamente para presentarlo y deja por escrito quién decide, quién notifica y dónde se documenta cada incidente. Las 72 horas se agotan muy rápido, fines de semana incluidos, y un simulacro de una hora te ahorra improvisar cuando cada minuto cuenta.

Conclusión

Notificar una brecha de seguridad a la AEPD no debería vivirse como una confesión que pone en riesgo a tu negocio, sino como parte del cumplimiento normal de tus obligaciones cuando el nivel de riesgo lo exige. El trámite es más accesible de lo que parece, y la clave está en tener claro de antemano quién activa el proceso y cómo, porque el plazo de 72 horas corre desde que tu organización tiene constancia del incidente, no desde que por fin alguien decide ocuparse de él.

Esta guía ha sido elaborada por el equipo de PymeCiber con un enfoque práctico para autónomos y pequeñas empresas, a partir de los artículos 33 y 34 del RGPD y de la información y las guías que publica la AEPD sobre notificación de brechas.

La información de este artículo tiene carácter divulgativo y orientativo. Ante una brecha real, especialmente si tienes dudas sobre el nivel de riesgo o sobre el contenido de la notificación, conviene contar con el apoyo de un profesional de protección de datos.

Última revisión: octubre de 2026.