Brechas de datos personales: +138 % en 2026 y cómo prevenirlas
La Agencia Española de Protección de Datos (AEPD) informó el 20 de octubre de 2026 de que entre enero y junio recibió 3.027 notificaciones de brechas de datos personales, frente a las 1.271 del mismo periodo de 2025: un 138 % más. Con los datos hasta agosto el aumento llega al 163 % (4.556 frente a 1.728), y solo las del primer semestre ya superan a las de todo 2025.
La propia Agencia identifica, a partir de sus informes mensuales, fenómenos que han contribuido al aumento: un incidente en un único encargado del tratamiento que provocó brechas en múltiples responsables, y las brechas de hoteles y de sus proveedores de software de reservas. Añade que el aumento coincide con la persistencia del ransomware. Lo que sigue es qué dice exactamente la nota, a qué obliga el RGPD cuando ocurre y qué puedes hacer antes para que no te toque a ti.
Qué cifras ha publicado la AEPD
La nota de prensa del 20 de octubre de 2026 compara los mismos periodos de 2025 y 2026. Estas son las cifras tal como las da la Agencia:
| Periodo | Notificaciones 2025 | Notificaciones 2026 | Variación |
|---|---|---|---|
| Enero a junio | 1.271 | 3.027 | +138 % |
| Enero a agosto | 1.728 | 4.556 | +163 % |
Otro dato de la misma nota: los responsables que notificaron emitieron en ese semestre más de 71 millones de comunicaciones a las personas afectadas, al apreciar un posible riesgo alto para ellas.
Conviene leerlas con cuidado: son notificaciones recibidas, que la AEPD presenta como indicador del aumento de ciberincidentes y otros casos en los que una brecha puede llegar a constituir un riesgo para los derechos y libertades de las personas. La nota no separa cuánto del aumento corresponde a más incidentes y cuánto a más notificaciones.
Qué hay detrás del aumento, según la AEPD
La Agencia apoya la explicación en sus informes mensuales sobre brechas y cita dos fenómenos que han contribuido al aumento y una amenaza que persiste:
- Un incidente en un proveedor, muchos afectados. En marzo detectó que un incidente en un único encargado del tratamiento provocó una brecha en múltiples responsables. En esos casos, recuerda, el encargado debe informar sin dilación indebida a los responsables para que cumplan sus obligaciones.
- Hoteles y software de reservas. El informe de julio señala que las notificaciones de establecimientos hoteleros y de sus encargados, generalmente proveedores de software de gestión de reservas, habían contribuido en gran medida al aumento de los meses anteriores. En muchas, terceros no legitimados acceden a datos de clientes y a información de sus reservas, que después puede servir para intentos de fraude. El informe de mayo ya lo había advertido, aunque entonces en menor medida.
- Ransomware. Según la nota, el aumento coincide con su persistencia: sigue provocando brechas en organizaciones de distintos sectores y puede comprometer tanto la disponibilidad como la confidencialidad de los datos.
De los dos primeros, la nota dice que han contribuido al aumento; del ransomware, que el aumento coincide con su persistencia. No dice que expliquen todo el aumento.
En mi lectura, el patrón que se repite es la dependencia de terceros. Tu nivel de seguridad depende también del de las empresas que tocan tus datos: el software de reservas, el de facturación, el hosting, la gestoría. Una pyme que nunca ha sido atacada puede acabar notificando una brecha por algo que ocurrió en el sistema de otro.
A qué obliga el RGPD cuando ocurre
Resumen de lo esencial, con el artículo en cada caso:
- Notificar a la autoridad de control (en la mayoría de las empresas, la AEPD) sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tengas constancia de la brecha, salvo que sea improbable que suponga un riesgo para las personas (art. 33.1). Si pasan las 72 horas, la notificación debe explicar el motivo del retraso.
- Si eres encargado del tratamiento, avisar al responsable sin dilación indebida (art. 33.2).
- Comunicarlo a las personas afectadas cuando sea probable un alto riesgo para sus derechos y libertades (art. 34.1).
- Documentar toda brecha, también las que no notifiques (art. 33.5).
Para decidir si te toca notificar y cómo hacerlo, paso a paso, tienes la herramienta Brecha de datos: ¿debo notificar a la AEPD en 72 horas?. La AEPD ofrece además dos ayudas oficiales: Asesora Brecha, para valorar si hay que notificar, y Comunica-Brecha RGPD, para decidir si hay que comunicarlo a las personas afectadas.
Notificar es la parte final del problema. Lo que la nota recuerda dos veces es lo de antes: medidas adecuadas al riesgo y procedimientos para actuar ante una brecha.
Una brecha es un problema de gestión, no solo de informática
El artículo 32 del RGPD pide al responsable y al encargado medidas técnicas y organizativas adecuadas al riesgo, y menciona, entre otras, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la de restaurar el acceso a los datos de forma rápida tras un incidente y un proceso regular de verificación de la eficacia de las medidas.
La AEPD recuerda como medidas previas la minimización de datos, el borrado o la anonimización temprana, el bloqueo y la segmentación. Una forma ordenada de tenerlas es un sistema de gestión de la seguridad: un conjunto de decisiones con responsable y registros que se mantienen en el tiempo. Los dos marcos de referencia más usados en España son el Esquema Nacional de Seguridad (ENS) y la norma ISO/IEC 27001.
La tabla cruza los riesgos que cita la AEPD (proveedores, accesos de terceros no legitimados, ransomware y falta de procedimientos) y dos que añado yo (no tener inventario y los errores de las personas) con medidas del Anexo II del ENS (Real Decreto 311/2022), con el código y el nombre del BOE. En la tercera columna indico en qué categorías o niveles se exige cada medida:
| Riesgo | Medida del ENS (Anexo II) | Qué pide, en corto | En ISO 27001 (sin numerar) |
|---|---|---|---|
| No saber qué datos y sistemas tienes expuestos | op.pl.1 Análisis de riesgos · op.exp.1 Inventario de activos | Identificar activos, amenazas y salvaguardas (op.pl.1); mantener el inventario (op.exp.1). Todas las categorías | Análisis y tratamiento de riesgos; inventario de activos |
| Fallo en un proveedor que arrastra a sus clientes | op.ext.1 Contratación y acuerdos de nivel de servicio · op.ext.2 Gestión diaria · op.ext.3 Protección de la cadena de suministro | Acuerdo de nivel de servicio antes de usar el recurso externo (op.ext.1) y medición de su cumplimiento (op.ext.2), en categoría MEDIA y ALTA; análisis del impacto de un incidente originado en la cadena de suministro (op.ext.3), en categoría ALTA | Seguridad en las relaciones con proveedores y en la cadena de suministro |
| Un incidente sin procedimiento para gestionarlo | op.exp.7 Gestión de incidentes | Proceso integral con informe de eventos, criterios de clasificación y escalado; en incidentes con datos personales, tener en cuenta el RGPD (op.exp.7.2). Todas las categorías | Gestión de incidentes de seguridad de la información |
| Ransomware y pérdida de datos | mp.info.6 Copias de seguridad | Copias con frecuencia y custodia definidas; pruebas de recuperación (refuerzo R1, nivel MEDIO) y una copia en lugar separado (R2, nivel ALTO), según la dimensión de disponibilidad | Copias de seguridad y continuidad |
| Errores y descuidos de las personas | mp.per.3 Concienciación · mp.per.4 Formación | Concienciar y formar al personal. Todas las categorías | Concienciación, educación y formación en seguridad |
| Accesos por terceros no legitimados | op.acc.6 Mecanismo de autenticación (usuarios de la organización) | Control de credenciales y limitación de intentos; doble factor obligatorio, en todos los niveles, para el acceso desde o a través de zonas no controladas como Internet (refuerzo R8) | Control de acceso y autenticación segura |
En mi lectura, el ENS y la ISO 27001 convierten las recomendaciones genéricas en tareas con responsable que se revisan y dejan evidencia. No es lo mismo decir «hacemos copias» que poder demostrar quién las hace, cada cuánto, dónde se guardan y cuándo se probó una restauración.
ENS o ISO 27001: cuándo conviene cada uno
El ENS se aplica a todo el sector público y también a los sistemas de información de las empresas privadas que, en virtud de un contrato, presten servicios o provean soluciones a entidades públicas para el ejercicio de sus competencias (art. 2.3 del Real Decreto 311/2022). El mismo artículo dice que los pliegos contemplarán los requisitos necesarios para asegurar esa conformidad, como la presentación de declaraciones o certificaciones, y que la cautela se extiende a la cadena de suministro de esos contratistas según el análisis de riesgos. Si vendes software o servicios a ayuntamientos, diputaciones o consejerías, es probable que te afecte; lo compruebas en ¿me obliga el ENS?.
La ISO 27001 es voluntaria. Se certifica a petición de la empresa y suele pedirla la cadena de clientes: un cliente grande, un pliego privado o una auditoría de proveedores. Su Anexo A (edición 2022) recoge 93 controles que seleccionas según tus riesgos.
Muchas empresas necesitan los dos marcos, y gran parte del trabajo se aprovecha entre ambos: alcance, análisis de riesgos y evidencias. Cómo encajan con el RGPD lo explico en ENS y RGPD: cómo encajan.
Qué tienes que hacer en tu empresa esta semana
Son medidas genéricas; no sustituyen a un análisis de riesgos, pero reducen el daño de brechas como las que describe la AEPD.
- Lista los proveedores que tratan datos personales por tu cuenta: software de reservas o de gestión, hosting, correo, asesoría, soporte informático. Es tu cadena de suministro.
- Comprueba que cada uno tiene firmado el contrato de encargado del tratamiento que exige el artículo 28 del RGPD, y qué dice sobre avisarte de una brecha. Pide por escrito en cuánto tiempo te avisarán.
- Activa el doble factor de autenticación en el correo, los paneles de administración y cualquier servicio en la nube con datos de clientes.
- Revisa las copias de seguridad: dónde están, cada cuánto se hacen, si hay una copia desconectada o separada de la red y cuándo probaste a restaurarla. Ese último dato es el que más se olvida.
- Escribe el procedimiento de brechas: quién decide, quién avisa al proveedor, a quién se notifica y con qué plazo. Una página es suficiente para empezar.
- Designa un teléfono y un correo de contacto que tus proveedores y empleados sepan que deben usar ante un incidente, también en fin de semana.
- Borra lo que no necesitas: datos de clientes antiguos, copias de ficheros en carpetas personales, cuentas de personas que ya no trabajan contigo. Lo que no tienes no se puede filtrar.
- Enseña al personal a reconocer correos de fraude, en especial los que pidan datos de reservas o de clientes, y a avisar rápido.
- Haz un simulacro de una hora: supón que tu proveedor principal te avisa de que ha sufrido una brecha y comprueba que sabes qué hacer en las primeras 24 horas. Si te falta algo, ya tienes la lista de tareas. Para el caso del ransomware, tienes más detalle en ransomware: prevención, detección y recuperación.
Si trabajas con el ENS, la respuesta a incidentes tiene su propio capítulo, que explico en ENS: respuesta y gestión de incidentes de seguridad.
Qué hago yo por ti en este tema
Soy Ángel Ortega Castro, consultor independiente. En este tema trabajo en tres líneas, y las hago yo, sin intermediarios:
- Implantación del ENS en empresas que trabajan para el sector público: categorización del sistema, selección de medidas del Anexo II, política de seguridad y Declaración de Aplicabilidad, y preparación de la declaración o certificación de conformidad. No certifico: la certificación en categoría MEDIA o ALTA la emite una entidad acreditada. Los detalles están en consultoría ENS para empresas.
- Implantación de ISO 27001: alcance, análisis de riesgos, Declaración de Aplicabilidad, documentación y preparación de la auditoría de certificación. Tampoco certifico. Lo tienes en consultor ISO 27001.
- DPO externo, con la gestión de brechas incluida: DPO externo.
La consultoría de implantación de ISO o ENS va de 4.000 a 25.000 €, y el plazo es de 2 a 6 meses, según el tamaño y las circunstancias de cada empresa. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente.
Estas semanas la AEPD ha publicado también un criterio sobre datos biométricos y dos advertencias a ayuntamientos sobre videovigilancia con inteligencia artificial.
Si quieres saber por dónde empezar con tus proveedores, tu plan de respuesta o la elección entre ENS e ISO 27001, reserva una videollamada de 30 minutos y lo revisamos con tu caso delante.
Preguntas frecuentes
¿Cuántas brechas de datos recibió la AEPD en 2026?
Entre enero y junio de 2026 recibió 3.027 notificaciones, un 138 % más que las 1.271 del mismo periodo de 2025. Entre enero y agosto fueron 4.556, un 163 % más que las 1.728 de 2025. Según la nota de la AEPD del 20 de octubre de 2026, las del primer semestre superan a las de todo 2025.
¿Por qué suben las brechas de datos personales?
La AEPD cita en su nota dos fenómenos que han contribuido al aumento (un incidente en un encargado que provocó brechas en múltiples responsables, y las brechas de hoteles y de sus proveedores de software de reservas) y señala que el aumento coincide con la persistencia del ransomware. No dice que expliquen todo el aumento.
¿En cuánto tiempo hay que notificar una brecha a la AEPD?
Sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas (art. 33.1 del RGPD). Si se supera ese plazo, la notificación debe indicar el motivo del retraso. El paso a paso está en la herramienta de notificación de brechas.
¿Sirve el ENS o la ISO 27001 para prevenir una brecha?
No eliminan el riesgo, pero obligan a gestionarlo: inventario, análisis de riesgos, formación y un procedimiento de incidentes. En el ENS, el control de proveedores (categoría MEDIA y ALTA) y las pruebas de restauración (nivel MEDIO y ALTO de disponibilidad) dependen del sistema. El ENS es obligatorio para el sector público y para los sistemas de las empresas que, por contrato, le prestan servicios o soluciones para el ejercicio de sus competencias (art. 2.3 del RD 311/2022); la ISO 27001 es voluntaria y la pide a menudo la cadena de clientes.
¿Soy responsable si la brecha ocurre en el sistema de mi proveedor?
Sigues siendo el responsable del tratamiento. El proveedor, como encargado, debe avisarte sin dilación indebida (art. 33.2 del RGPD), y tú valoras si hay que notificar a la AEPD y comunicarlo a las personas afectadas. Además, el artículo 28 te obliga a elegir encargados que ofrezcan garantías suficientes y a regular la relación en un contrato.
Fuentes
- AEPD, nota de prensa «La AEPD recibe más de 3.000 notificaciones de brechas de datos personales en el primer semestre del año», 20 de octubre de 2026
- AEPD, herramienta Asesora Brecha y herramienta Comunica-Brecha RGPD.
- AEPD, notificaciones de brechas de datos personales
- Reglamento (UE) 2016/679 (RGPD), artículos 28, 32, 33 y 34, texto en el BOE (DOUE-L-2016-80807)
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, artículo 2.3 y Anexo II, BOE-A-2022-7191
- ISO/IEC 27001:2022 (norma de pago, publicada por ISO).
Fuentes consultadas el 4 de noviembre de 2026.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.