La Agencia Española de Protección de Datos (AEPD) recibió 3.027 notificaciones de brechas de datos entre enero y junio de 2026, frente a 1.271 en el mismo periodo de 2025. Es un 138 % más, y en solo seis meses ya se han superado las notificaciones de todo 2025. Hasta agosto, la cifra llega a 4.556.
Además, las organizaciones afectadas enviaron más de 71 millones de comunicaciones a los afectados al apreciar un posible riesgo alto. Cualquier empresa puede sufrir una brecha de datos, y la diferencia entre un incidente controlado y una sanción suele estar en cómo se reacciona en las primeras horas.
La AEPD destaca tres fenómenos de este año:
- Fallos en proveedores. En marzo, un incidente en un único proveedor que trata datos por cuenta de sus clientes (el «encargado del tratamiento»), como una empresa de software, provocó brechas en varios de ellos a la vez.
- Hoteles y sistemas de reservas. Terceros acceden a los datos de clientes y reservas a través del software de gestión, que podrían usarse para intentar fraudes.
- Ransomware. Programas que cifran o roban la información y piden un rescate, en empresas de todos los sectores.
¿Qué es una brecha de datos personales?
Es cualquier incidente de seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales (artículo 4.12 del RGPD). No hace falta un ciberataque: muchas brechas nacen de un descuido.
Ejemplos habituales en pymes, despachos y comunidades de propietarios:
- Un correo enviado con todos los destinatarios a la vista, o con un archivo adjunto equivocado.
- Un portátil, móvil o pendrive perdido o robado sin cifrar.
- Un virus o ransomware que bloquea el servidor o la base de datos de clientes.
- Un empleado que consulta datos que no necesita para su trabajo.
- Documentación en papel tirada a la basura sin destruir.
- Un fallo en un proveedor (gestoría, programa de facturación, nube) que expone tus datos.
La brecha puede afectar a la confidencialidad (alguien ve lo que no debe), a la integridad (los datos se alteran) o a la disponibilidad (no puedes acceder a ellos).
Qué hacer ante una brecha de datos, paso a paso
El RGPD exige notificar a la AEPD lo antes posible y, como máximo, en 72 horas desde que la empresa tiene constancia de la brecha (artículo 33). Las horas corren también en fines de semana y festivos. En resumen: contén el incidente, reúne la información, valora el riesgo, notifica a la AEPD, avisa a los afectados si el riesgo es alto y documéntalo todo. Paso a paso:
- Contener el incidente. Desconecta el equipo afectado de la red, cambia contraseñas, bloquea accesos o pide al destinatario de un correo erróneo que lo borre. No apagues ni formatees equipos sin consejo técnico: puedes perder pruebas. Si hay delito (robo, ransomware), denúncialo ante la Policía o la Guardia Civil.
- Avisar a quien lleve la protección de datos. Si tienes delegado de protección de datos (DPD) o asesor externo, implícalo desde el primer momento.
- Reunir la información. Qué ha pasado, cuándo, qué datos y de cuántas personas, y si hay datos sensibles (salud, datos bancarios, menores).
- Valorar el riesgo. Hay que notificarla salvo que sea improbable que suponga un riesgo para las personas. Es la decisión más delicada: un error en un sentido u otro puede acabar en sanción, por eso conviene que la tome un especialista en protección de datos.
- Notificar a la AEPD en su sede electrónica, con certificado digital o Cl@ve, dentro de las 72 horas. Si aún no tienes todos los datos, notifica lo que sepas y completa después; si te retrasas, explica el motivo. Te lo explicamos en nuestro procedimiento de notificación de incidencias a la AEPD. En una comunidad de propietarios, quien notifica es la comunidad, normalmente a través del administrador o del presidente.
- Documentar la brecha siempre, también si decides no notificarla: qué ocurrió, sus efectos y las medidas tomadas. Ese registro interno es obligatorio y la AEPD puede pedírtelo.
Si la brecha la sufre tu proveedor, este debe avisarte lo antes posible, pero la obligación de notificar a la AEPD sigue siendo de tu empresa. Revisa que tus contratos de encargado del tratamiento lo recojan.
¿Hay que avisar a las personas afectadas?
Sí, cuando la brecha supone un riesgo alto para sus derechos (artículo 34 del RGPD): por ejemplo, si se han expuesto datos de salud, cuentas bancarias, contraseñas o documentos de identidad. La comunicación debe hacerse lo antes posible, en lenguaje claro, y explicar:
- Qué ha ocurrido y qué datos se han visto afectados.
- Las posibles consecuencias.
- Las medidas que ha tomado la empresa.
- Qué puede hacer la persona para protegerse (cambiar contraseñas, vigilar cargos, desconfiar de llamadas o correos).
- Un contacto para más información, como el delegado de protección de datos.
No es necesario avisar si los datos estaban cifrados y la clave no se ha visto comprometida, o si ya se han tomado medidas que eliminan el riesgo alto. Si avisar a cada persona exige un esfuerzo desproporcionado, basta con una comunicación pública, por ejemplo en la web. Valorar si se dan estas excepciones, y redactar la comunicación para que sea clara sin agravar el daño reputacional, requiere un análisis caso por caso.
Errores frecuentes
- Esperar a tenerlo todo claro para notificar y dejar pasar las 72 horas.
- Pensar que solo cuentan los ciberataques: un correo mal enviado también es una brecha.
- No dejar constancia de las brechas que no se notifican.
- Pagar un rescate de ransomware creyendo que así se resuelve: no garantiza recuperar los datos ni evita la obligación de notificar.
- Olvidar a los proveedores: si no saben que deben avisarte, te enterarás tarde.
Cómo prepararse antes de que ocurra
La AEPD insiste en que la mejor gestión de una brecha empieza antes de que se produzca (lo desarrollamos en Brechas de seguridad: cómo protegernos):
- Guardar solo los datos necesarios y borrarlos cuando dejen de serlo.
- Cifrar portátiles, móviles y copias de seguridad.
- Limitar los accesos a quien de verdad los necesita.
- Hacer copias de seguridad periódicas y separadas del sistema principal.
- Formar a la plantilla para reconocer correos fraudulentos y saber a quién avisar.
- Tener por escrito un protocolo de gestión de brechas y un registro de incidentes, adaptados a tu empresa (lo explicamos en nuestra política de gestión de incidentes).
- Revisar los contratos con proveedores que tratan datos por cuenta de la empresa.
¿Tu empresa está preparada?
En Unojuridica somos un despacho especializado en protección de datos y consultoría en igualdad, con oficina en Valladolid y clientes en toda España. Te ayudamos con la adecuación al RGPD, como delegado de protección de datos externo, a preparar tu protocolo de brechas y a revisar los contratos con tus proveedores. Y si sufres un incidente, te ayudamos a valorar el riesgo y a preparar la notificación a la AEPD.
Contáctanos y revisamos tu caso: C/ Santiago 25, 4ºD, Valladolid · 983 09 94 35 · unojuridica@unojuridica.com.
Fuentes
- AEPD, nota de prensa del 20 de octubre de 2026: La AEPD recibe más de 3.000 notificaciones de brechas de datos en el primer semestre
- Reglamento General de Protección de Datos (RGPD), artículos 4.12, 33 y 34.
