Brecha de datos: ¿debo notificarla a la AEPD en 72 horas?
Si acabas de descubrir una brecha, el reloj ya corre: las 72 horas del artículo 33 del RGPD cuentan desde que tienes constancia de ella, no desde que ocurrió. Este simulador te orienta en 2 minutos sobre los tres deberes: documentar siempre, notificar a la AEPD salvo riesgo improbable y comunicar a los afectados solo si el riesgo es alto.
Los tres deberes ante una brecha, en una tabla.
| Obligación | ¿Cuándo? | Plazo | Base legal |
|---|---|---|---|
| Documentar internamente | Siempre — toda brecha, se notifique o no | Registro interno inmediato: hechos, efectos y medidas correctivas | Art. 33.5 RGPD |
| Notificar a la AEPD | Salvo riesgo improbable — a menos que sea improbable que constituya un riesgo para las personas | ≤ 72 horas desde que tienes constancia (si llegas tarde, con los motivos de la dilación) | Art. 33 RGPD |
| Comunicar a los afectados | Solo alto riesgo — con 3 excepciones: datos ininteligibles (cifrado), medidas ulteriores que eliminan el alto riesgo o esfuerzo desproporcionado (art. 34.3) | Sin dilación indebida, en lenguaje claro y sencillo | Art. 34 RGPD |
La sanción: incumplir los artículos 33 y 34 puede multarse con hasta 10 millones de euros o el 2 % del volumen de negocio total anual global, la cifra que sea mayor (art. 83.4 RGPD). Caso real verificado: la AEPD multó a Air Europa con 100.000 € por notificar una brecha 41 días después de tener constancia de ella (resolución PS/00179/2020).
La propia AEPD ofrece dos herramientas oficiales gratuitas: Asesora Brecha (¿debo notificar a la AEPD?) y Comunica-Brecha RGPD (¿debo avisar a los afectados?). Fuentes: RGPD, arts. 33-34 (EUR-Lex) y Guía AEPD de notificación de brechas (junio 2021).
Última verificación: 24 de julio de 2026
Siete preguntas, ningún dato enviado.
Respondes 7 preguntas
Qué ha pasado, si hay datos personales, si estaban cifrados, qué categorías y volumen, tu rol (responsable o encargado) y tu evaluación del riesgo. Todo ocurre en tu navegador: nada se envía ni se guarda.
Aplicamos el árbol de los arts. 33 y 34
El mismo criterio de la guía de la AEPD: documentar siempre, notificar salvo riesgo improbable, comunicar a los afectados solo si el alto riesgo es probable y no aplica ninguna excepción del 34.3.
Obtienes veredictos acumulativos
Un veredicto por deber, con badge inequívoco, el reloj de 72 horas explicado y, si toca notificar, la checklist del contenido mínimo del art. 33.3. Imprimible para tu registro interno.
¿Qué ha pasado exactamente?
La guía de la AEPD clasifica las brechas en tres tipologías: confidencialidad, integridad y disponibilidad. El ransomware o la pérdida de documentación también cuentan (disponibilidad).
¿Hay datos personales afectados?
Si el incidente no afecta a datos personales, no es una violación de seguridad de datos personales y no aplican los artículos 33 y 34 del RGPD (aunque pueden aplicar el ENS o el régimen NIS).
¿Los datos eran ininteligibles para terceros?
El cifrado robusto con las claves a salvo es la excepción típica del artículo 34.3.a): hace innecesaria la comunicación a los afectados y reduce el riesgo.
¿Qué categoría de datos es la más sensible afectada?
Las categorías especiales del artículo 9 (salud, ideología, orientación sexual, biometría…), las condenas penales y los colectivos vulnerables elevan el riesgo según la guía de la AEPD.
¿A cuántas personas afecta, aproximadamente?
El volumen (número de afectados y de registros) es uno de los criterios de riesgo de la guía de la AEPD. Si no lo sabes, estima al alza.
¿Actúas como responsable o como encargado del tratamiento?
El responsable decide fines y medios; el encargado trata los datos por cuenta del responsable (una gestoría con los datos de los clientes de su cliente, un proveedor SaaS…).
Con todo lo anterior: ¿qué riesgo supone para los afectados?
El nivel de riesgo, según la guía de la AEPD, combina la severidad de las consecuencias y la probabilidad de que se materialicen: tipología de la brecha, categorías, volumen, colectivos vulnerables y facilidad de identificación.
Esto es lo que debes hacer, deber por deber
Tres deberes y un reloj de 72 horas.
Última verificación de artículos, sanciones y resoluciones: 24 de julio de 2026 (fuentes oficiales al final).
Una violación de seguridad de datos personales —una brecha de datos— es cualquier incidente que compromete datos de personas físicas. La guía de la AEPD (versión de junio de 2021) las clasifica en tres tipologías: de confidencialidad (alguien no autorizado accede a los datos: un hackeo, un email enviado al destinatario equivocado), de integridad (los datos se alteran) y de disponibilidad (los datos dejan de estar accesibles: un ransomware o la pérdida de documentación cuentan como brecha, aunque nadie se haya llevado nada). Si tu empresa trata datos personales —es decir, prácticamente siempre, como explica la guía del vertical de ciberseguridad y RGPD—, el RGPD te impone ante una brecha tres deberes distintos, con umbrales distintos.
Deber 1 · Documentar. Siempre (art. 33.5)
Toda brecha se documenta internamente, se notifique o no: los hechos, sus efectos y las medidas correctivas adoptadas, de forma que la autoridad de control pueda verificar el cumplimiento. Es el deber que más se olvida y el más barato de cumplir. No documentar es, en sí mismo, una infracción leve del artículo 74.n de la LOPDGDD.
Deber 2 · Notificar a la AEPD en 72 horas (art. 33)
La regla general es notificar a la autoridad de control «sin dilación indebida y, de ser posible, a más tardar 72 horas después» de tener constancia de la brecha. Dos matices que cambian casos reales: el plazo corre desde la constancia, no desde que ocurrió la brecha; y la única exención es que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas — una evaluación que debes poder justificar. Si notificas pasadas las 72 horas, la notificación debe ir acompañada de los motivos de la dilación.
¿Y si a las 72 horas no tienes toda la información? El artículo 33.4 permite la notificación por fases: se facilita la información de manera gradual, sin dilación indebida. El contenido mínimo lo fija el artículo 33.3: naturaleza de la violación con las categorías y el número aproximado de interesados y de registros afectados, contacto del delegado de protección de datos, posibles consecuencias y medidas adoptadas o propuestas. La notificación se presenta por vía electrónica, con certificado electrónico reconocido, mediante el formulario de brechas de la sede electrónica de la AEPD, que admite notificaciones complementarias.
Deber 3 · Comunicar a los afectados, solo si el riesgo es alto (art. 34)
La comunicación a los interesados solo es obligatoria cuando sea probable que la brecha entrañe un alto riesgo para sus derechos y libertades — y entonces debe hacerse sin dilación indebida y en un lenguaje claro y sencillo, con el contacto del DPD, las posibles consecuencias y las medidas adoptadas. El artículo 34.3 recoge tres excepciones: (a) que los datos fueran ininteligibles para terceros, como los cifrados con las claves a salvo; (b) que el responsable haya tomado medidas ulteriores que garanticen que el alto riesgo ya no puede materializarse; y (c) que la comunicación individual suponga un esfuerzo desproporcionado, en cuyo caso se sustituye por una comunicación pública igualmente efectiva. Ojo: la AEPD puede exigir la comunicación si no aprecia la excepción (art. 34.4).
Lo que sanciona la AEPD: dos casos reales
Incumplir los artículos 33 o 34 se tipifica en el artículo 83.4 del RGPD: multas de hasta 10 millones de euros o el 2 % del volumen de negocio total anual global, la cifra que sea mayor. La multa no es automática ni siempre máxima —se gradúa conforme al artículo 83.2, como muestra la calculadora de sanciones RGPD—, pero el rango real es amplio: en la resolución PS/00179/2020, la AEPD impuso a Air Europa 100.000 € por el artículo 33 (notificó la brecha 41 días después de tener constancia de ella) más 500.000 € por las medidas de seguridad del artículo 32.1. En el otro extremo, la PS/00152/2020 se cerró con un apercibimiento a la Fundación Síndrome 5P– por no notificar en 72 horas: mismo artículo, sanción muy distinta.
Las particularidades españolas: LOPDGDD
La Ley Orgánica 3/2018 aterriza el régimen sancionador: son infracciones graves (art. 73) que el encargado no notifique al responsable las violaciones de las que tenga conocimiento (73.q), incumplir el deber de notificar a la autoridad (73.r) o no comunicar al afectado cuando la autoridad lo hubiera requerido (73.s). Son leves (art. 74) la notificación incompleta, tardía o defectuosa (74.m), no documentar las brechas (74.n) y no comunicar al afectado una brecha de alto riesgo cuando no medió requerimiento (74.ñ). Y el artículo 77 marca la gran diferencia del sector público: a las Administraciones Públicas no se les imponen multas — la autoridad dicta resolución declarando la infracción, con medidas, posible apercibimiento, actuaciones disciplinarias y publicidad.
Si eres entidad pública o tu sistema está en el ámbito del Esquema Nacional de Seguridad, conviven además dos notificaciones independientes: la de datos personales a la AEPD (art. 33 RGPD) y la del incidente de seguridad al CCN-CERT cuando tenga impacto significativo (Real Decreto 311/2022, art. 33.2). Puedes comprobar tu situación ENS con el autodiagnóstico ENS. En el sector público autonómico, la autoridad de protección de datos puede ser la autonómica: APDCAT en Cataluña, AVPD en el País Vasco y el Consejo de Transparencia y Protección de Datos en Andalucía.
Las herramientas oficiales de la AEPD
Antes de decidir a ciegas, usa las dos herramientas gratuitas de la propia AEPD, renovadas el 10 de octubre de 2023: Asesora Brecha, que orienta sobre si hay que notificar a la autoridad (art. 33), y Comunica-Brecha RGPD, que orienta sobre si hay que comunicar a los afectados (art. 34). Ambas generan un informe descargable con tus respuestas —útil como evidencia para la documentación interna del artículo 33.5— y la AEPD no almacena los datos introducidos. Este simulador aplica los mismos criterios en una sola pasada; para el caso concreto, esas herramientas y la guía oficial son la referencia.
BOE — Ley Orgánica 3/2018 (LOPDGDD), arts. 73, 74 y 77
BOE — Real Decreto 311/2022 (ENS), art. 33
AEPD — Guía para la notificación de brechas de datos personales (junio 2021)
AEPD — Asesora Brecha
AEPD — Comunica-Brecha RGPD
AEPD — Resolución PS/00179/2020 (Air Europa)
AEPD — Resolución PS/00152/2020 (Fundación Síndrome 5P–)
Las dudas de las primeras 72 horas.
¿Hay que notificar todas las brechas de datos a la AEPD?+
No. El artículo 33.1 del RGPD obliga a notificar salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas. Lo que sí es obligatorio en todos los casos es documentar internamente la brecha (artículo 33.5), se notifique o no: la AEPD puede pedir ese registro para verificar el cumplimiento.
¿Desde cuándo cuentan las 72 horas?+
Desde que el responsable tiene constancia de la brecha, no desde que ocurrió. Si la notificación llega después de 72 horas, hay que presentarla igualmente acompañada de los motivos de la dilación (artículo 33.1). Notificar tarde es sancionable: la AEPD multó a Air Europa con 100.000 euros por notificar una brecha 41 días después de tener constancia de ella (PS/00179/2020).
¿Y si a las 72 horas todavía no tengo toda la información?+
El RGPD lo prevé: la notificación puede hacerse por fases (artículo 33.4), facilitando la información de manera gradual sin dilación indebida. El formulario de notificación de la AEPD admite una notificación inicial y notificaciones complementarias posteriores. No esperes a tenerlo todo: notifica lo que sepas dentro del plazo y completa después.
¿Cuándo tengo que avisar a los afectados?+
Solo cuando sea probable que la brecha entrañe un alto riesgo para sus derechos y libertades (artículo 34.1), sin dilación indebida y en un lenguaje claro y sencillo. Hay tres excepciones (artículo 34.3): que los datos fueran ininteligibles para terceros —por ejemplo, cifrados con las claves a salvo—, que hayas tomado medidas posteriores que garanticen que el alto riesgo ya no puede materializarse, o que la comunicación individual suponga un esfuerzo desproporcionado, en cuyo caso se sustituye por una comunicación pública igualmente efectiva.
¿Qué pasa si no notifico una brecha?+
Incumplir los artículos 33 y 34 puede sancionarse con hasta 10 millones de euros o el 2 % del volumen de negocio total anual global, la cifra que sea mayor (artículo 83.4 RGPD). La multa no es automática ni siempre máxima: se gradúa conforme al artículo 83.2. Hay desde apercibimientos (Fundación Síndrome 5P–, PS/00152/2020) hasta multas de 100.000 euros por notificar 41 días tarde (Air Europa, PS/00179/2020).
¿El encargado del tratamiento notifica a la AEPD?+
No, salvo mandato del responsable. El artículo 33.2 del RGPD obliga al encargado a notificar al responsable, sin dilación indebida, las violaciones de las que tenga conocimiento; la notificación a la AEPD la presenta el responsable. Para el encargado, no avisar al responsable es infracción grave según el artículo 73.q de la LOPDGDD.
¿Un ransomware sin robo de datos cuenta como brecha?+
Sí. La guía de la AEPD clasifica las brechas en tres tipologías —confidencialidad, integridad y disponibilidad— e incluye el ransomware y la pérdida de documentación como brechas de disponibilidad. Que no haya exfiltración no exime de evaluar el riesgo: si no es improbable que afecte a los derechos de las personas, hay que notificar a la AEPD en 72 horas. Y documentarla, siempre (artículo 33.5).
No pierdas horas decidiendo a ciegas.
Agenda una sesión gratuita de 30 minutos. Repasamos tu caso, qué hay que notificar y a quién, cómo documentarlo — y si el reloj de las 72 horas aprieta, priorizamos lo urgente.
Agendar sesión gratuita →