Bretxes de seguretat: què fer en les primeres 72 hores

Resposta directa: si al teu negoci es perden, es filtren o roben dades personals, tens 72 hores des que te n'assabentes —no des que va passar— per decidir si cal avisar l'Agencia Española de Protección de Datos (AEPD), segons l'article 33 del Reglamento (UE) 2016/679 (RGPD). Moltes bretxes petites no necessiten notificació a l'AEPD, però totes, es notifiquin o no, les has d'apuntar al teu registre intern d'incidents (art. 33.5 RGPD). Aquesta guia, revisada el 16 de juliol de 2026, explica què fer en les primeres hores, quan avisar i quan no, amb enllaços a les fonts oficials.

Sumari

• Què és exactament una bretxa de seguretat de dades?
• Què faig la primera hora?
• Quan he d'avisar l'AEPD i quan no?
• Com es compten exactament les 72 hores?
• Què passa si no hi arribo a temps?
• He d'avisar també les persones afectades?
• Com es notifica a l'AEPD a la pràctica?
• Què he de documentar encara que no notifiqui res?
• Què passa si no compleixo això?
• Checklist de les primeres 72 hores
• Preguntes freqüents
• Fonts oficials

Què és exactament una bretxa de seguretat de dades?

Una bretxa de seguretat (el RGPD l'anomena «violació de la seguretat de les dades personals», art. 4.12) és qualsevol fallada que afecta dades personals que guardes: es perden, es destrueixen, es canvien sense permís o arriben a algú que no les havia de veure.

No cal un atac informàtic perquè compti. Són bretxes de seguretat, entre altres, aquests casos:

• Un portàtil o un mòbil de feina perdut o robat, amb dades de clients o empleats a dins.
• Un correu amb una nòmina, una llista de clients o un contracte enviat a la persona equivocada.
• Una carpeta amb documents en paper oblidada en un lloc públic.
• Un atac informàtic, un virus o un ransomware que entra als teus sistemes.
• Un accés d'algú del teu equip a dades que no li pertocaven.

La llei no distingeix entre «bretxa gran» i «bretxa petita» a l'hora d'exigir-te que la registris: la diferència només importa a l'hora de decidir si cal avisar l'AEPD, les persones afectades, totes dues parts o cap. Això és justament el que veiem a la resta de l'article.

Què faig la primera hora?

Abans de pensar en notificacions, hi ha tres coses que pots resoldre en uns minuts:

1. Atura la fallada si encara està en marxa. Canvia la contrasenya, revoca l'accés, recupera el dispositiu si és possible. No esborris res que pugui servir per entendre què ha passat.
2. Apunta l'hora exacta en què te n'has assabentat. És la dada més important de totes: d'aquí comencen a comptar les 72 hores, no de quan va ocórrer la fallada en realitat.
3. Reuneix el que ja saps, encara que sigui poc: què ha passat, quin tipus de dades hi ha implicades (noms, correus, dades de salut, comptes bancaris…) i de quantes persones, encara que sigui una xifra aproximada.

No necessites tenir la resposta completa per començar. L'AEPD admet notificacions amb informació parcial, que es completa després (ho expliquem a l'apartat Com es notifica a l'AEPD?).

Quan he d'avisar l'AEPD i quan no?

La regla de l'art. 33 RGPD és aquesta: has de notificar llevat que sigui improbable que la bretxa suposi un risc per als drets i les llibertats de les persones afectades. A la pràctica, això es tradueix en dos escenaris habituals:

Probablement no cal notificar quan, per exemple, les dades estaven xifrades i la clau no s'ha vist compromesa, o quan la dada que s'ha filtrat no permet identificar ningú ni causar-li un perjudici real (un fitxer amb només codis interns, sense noms ni dades de contacte).

Probablement sí que cal notificar quan les dades afectades són identificables i la seva pèrdua, filtració o ús indegut pot causar un dany real a les persones: robatori d'identitat, perjudici econòmic, discriminació, o quan es tracta de dades de categoria especial (salut, origen ètnic, orientació sexual, afiliació sindical, entre d'altres).

Encara que la conclusió sigui «no cal notificar-ho a l'AEPD», això no t'allibera d'una obligació: sempre has de documentar la fallada al teu registre intern. Ho veiem a l'apartat Què he de documentar encara que no notifiqui res?

Com es compten exactament les 72 hores?

El termini comença quan tu tens constància raonable de la fallada, no quan va passar de veritat. Si una fallada va passar el dilluns però no te n'assabentes fins al dissabte, el rellotge de les 72 hores comença el dissabte, no el dilluns.

Les 72 hores es compten en hores seguides, no en dies laborables: si te n'assabentes un divendres a les 18:00, el termini acaba el dilluns a les 18:00, festius i cap de setmana inclosos. No hi ha cap pausa per vacances ni per tancament del negoci.

Aquest detall és el que més confon: molta gent compta el termini des del moment de la fallada, i arriba tard sense haver-se'n adonat. Apuntar la data i l'hora exactes en què te'n vas assabentar, des del primer minut, és el que et permet calcular bé el termini.

Què passa si no hi arribo a temps?

Si et passes de les 72 hores, la instrucció no és «ja no val la pena avisar»: continua sent millor notificar tard que no notificar. El mateix art. 33 RGPD preveu aquest cas: si la notificació no es fa dins del termini, ha d'anar acompanyada dels motius de la dilació.

A la pràctica, això vol dir una frase honesta i sense excuses: què ha passat perquè l'avís arribi després de les 72 hores (per exemple, que calgués més temps per entendre l'abast real de la fallada). No és un tràmit que desapareix per haver-se passat de termini, és un tràmit que es fa igualment, explicant el retard.

He d'avisar també les persones afectades?

De vegades sí, a més d'avisar l'AEPD. L'art. 34 RGPD obliga a comunicar la bretxa directament a les persones afectades quan és probable que suposi un risc alt per als seus drets: per exemple, si s'han filtrat dades bancàries, contrasenyes o dades de salut que es poden fer servir en contra seva.

Quan toca avisar-les, la comunicació s'ha de fer sense dilació indeguda i en un llenguatge clar i senzill —el mateix nivell de senzillesa que exigeix la resta de la comunicació amb clients—, explicant què ha passat, quines dades seves estan afectades, quines conseqüències pot tenir i què poden fer elles per protegir-se.

No sempre cal aquest segon avís: moltes bretxes que sí que es notifiquen a l'AEPD no arriben al nivell de risc alt que activa l'art. 34. La decisió depèn del cas concret, no d'una regla automàtica.

Com es notifica a l'AEPD a la pràctica?

L'AEPD explica a la seva pàgina sobre bretxes de seguretat que les notificacions es fan de manera electrònica, a través de la seva Sede Electrónica. En aquesta mateixa pàgina, l'AEPD posa a disposició de responsables i encarregats del tractament eines d'ajuda: una per valorar si un incident concret exigeix notificació (Asesora Brecha) i una altra per preparar i enviar l'avís (Comunica-Brecha RGPD).

El contingut mínim de l'avís, segons l'art. 33.3 RGPD, inclou: què ha passat, aproximadament quantes persones i quantes dades estan afectades, un contacte on puguin demanar més informació, quines conseqüències probables pot tenir i quines mesures has pres o prendràs. Si en arribar a les 72 hores encara no tens tota la informació, pots notificar amb el que sàpigues i completar-ho després per fases: el RGPD ho permet expressament.

Què he de documentar encara que no notifiqui res?

Aquesta és l'obligació que més es passa per alt. L'art. 33.5 RGPD t'exigeix documentar totes les bretxes de seguretat, es notifiquin o no a l'AEPD: els fets relacionats amb la bretxa, els seus efectes i les mesures correctives adoptades.

Aquest registre ha d'incloure, com a mínim:

• La data en què va ocórrer la fallada i la data en què te'n vas assabentar.
• Què ha passat.
• Quin tipus de dades i de quantes persones s'han vist afectades, aproximadament.
• Quines conseqüències pot tenir per a aquestes persones.
• Quines mesures has pres, o prendràs, per solucionar-ho i perquè no torni a passar.

Si mai no ha passat cap fallada al teu negoci, el teu registre pot estar buit: això no és cap problema, és el normal, i aquest full en blanc ja compleix amb la llei. El que sí que seria un problema és no tenir el registre preparat per al dia que faci falta.

Què passa si no compleixo això?

L'AEPD és qui vigila això a Espanya. Pot demanar explicacions, ordenar canvis, avisar o posar una multa. El RGPD fixa els màxims possibles en dos nivells: fins a 10 milions d'euros o el 2 % de la facturació mundial anual, i fins a 20 milions o el 4 %, segons la infracció (art. 83 RGPD); s'aplica la xifra més alta de les dues.

A la pràctica, aquestes xifres són el sostre legal, no el que és habitual: la sanció es gradua segons la gravetat, la mida del negoci i si has col·laborat. Un negoci petit que registra els seus incidents i notifica quan toca no està en aquest escenari. Per això convé tenir el procediment muntat amb calma, abans que faci falta fer-lo servir, i no improvisar-lo el dia que passa una fallada de veritat.

Checklist de les primeres 72 hores

Un resum per tenir a mà el dia que faci falta, no una llista per memoritzar avui:

1. Conté la fallada. Canvia contrasenyes, revoca accessos, recupera el que puguis.
2. Apunta l'hora exacta en què te n'has assabentat. D'aquí compten les 72 hores.
3. Reuneix el que saps: què ha passat, quines dades i de quantes persones, aproximadament.
4. Valora el risc per a les persones afectades: poden patir un perjudici real?
5. Si hi ha risc, notifica-ho a l'AEPD per la Sede Electrónica, dins de les 72 hores o explicant el motiu del retard.
6. Si el risc és alt per a les persones, avisa-les també a elles, sense dilació i amb llenguatge clar.
7. Documenta l'incident al teu registre intern, hagi calgut notificar o no.
8. Revisa quina mesura evita que torni a passar, i apunta-la al mateix registre.

Preguntes freqüents

Les 72 hores compten des que va passar la fallada o des que me n'assabento? Des que te n'assabentes. Si la fallada va ocórrer abans però no la descobreixes fins més tard, el termini comença en el moment del descobriment, no en el de la fallada.

Perdre un mòbil de feina compta com a bretxa de seguretat? Sí, si aquest mòbil té accés a dades personals: contactes, correus, aplicacions amb dades de clients o empleats. Compta igual que un atac informàtic a efectes de registre i, si cal, de notificació.

He de notificar encara que no estigui segur de si hi ha risc? La regla és notificar llevat que sigui improbable que hi hagi risc. Si tens dubtes raonables, l'opció més prudent és notificar; en qualsevol cas, documenta l'incident sempre, notifiquis o no.

Què passa si el meu registre d'incidents està buit? No passa res: vol dir que, de moment, no ha ocorregut cap fallada de seguretat al teu negoci. Un registre buit ja compleix amb l'obligació de l'art. 33.5 RGPD; l'important és tenir-lo llest per al dia que faci falta fer-lo servir.

Puc notificar a l'AEPD amb informació incompleta? Sí. L'art. 33.4 RGPD permet facilitar la informació per fases si no està tota disponible al principi, sempre que no ho dilatis sense motiu.

Fonts oficials

• Reglamento (UE) 2016/679 (RGPD), articles 4.12, 5, 32, 33, 34 i 83 — text oficial a EUR-Lex.
• AEPD — «Brechas de seguridad», inclou el procediment de notificació, el termini de 72 hores i les eines Asesora Brecha i Comunica-Brecha RGPD.
• Agencia Española de Protección de Datos (AEPD).

---

Com continuar a partir d'aquí

Detectar una fallada de seguretat fa vertigen, sobretot si no saps per on començar. A Tranquilia tens un qüestionari guiat de 6 preguntes que et diu si cal avisar l'AEPD i, si toca, et deixa preparat l'esborrany de l'avís i el registre intern de l'incident, llestos per repassar amb la teva gestoria.

👉 Comença el qüestionari de bretxa de seguretat — gratis per a fins a 2 empreses, sense targeta i sense límit de temps.

---

Informe de contingut elaborat amb Tranquilia — no constitueix una certificació oficial ni un dictamen jurídic. Si tens dubtes sobre un cas concret, consulta amb la teva gestoria o amb un professional del dret.