Brechas de seguridade: que facer nas primeiras 72 horas

Resposta directa: se no teu negocio se perden, filtran ou rouban datos persoais, tes 72 horas desde que te decatas —non desde que ocorreu— para decidir se hai que avisar a Agencia Española de Protección de Datos (AEPD), segundo o artigo 33 do Reglamento (UE) 2016/679 (RGPD). Moitas brechas pequenas non necesitan notificación á AEPD, pero todas, notifíquense ou non, tes que apuntalas no teu rexistro interno de incidentes (art. 33.5 RGPD). Esta guía, revisada o 16 de xullo de 2026, explica que facer nas primeiras horas, cando avisar e cando non, con ligazóns ás fontes oficiais.

Sumario

• Que é exactamente unha brecha de seguridade de datos?
• Que fago na primeira hora?
• Cando teño que avisar a AEPD e cando non?
• Como se contan exactamente as 72 horas?
• Que pasa se non chego a tempo?
• Teño que avisar tamén as persoas afectadas?
• Como se notifica á AEPD na práctica?
• Que teño que documentar aínda que non notifique nada?
• Que pasa se non cumpro isto?
• Checklist das primeiras 72 horas
• Preguntas frecuentes
• Fontes oficiais

Que é exactamente unha brecha de seguridade de datos?

Unha brecha de seguridade (o RGPD chámalle «violación da seguridade dos datos persoais», art. 4.12) é calquera fallo que afecta datos persoais que gardas: pérdense, destrúense, cámbianse sen permiso ou chegan a alguén que non os debía ver.

Non fai falta un ataque informático para que conte. Son brechas de seguridade, entre outros, estes casos:

• Un portátil ou un móbil de traballo perdido ou roubado, con datos de clientes ou empregados dentro.
• Un correo cunha nómina, unha lista de clientes ou un contrato enviado á persoa equivocada.
• Unha carpeta con documentos en papel esquecida nun sitio público.
• Un ataque informático, un virus ou un ransomware que entra nos teus sistemas.
• Un acceso de alguén do teu equipo a datos que non lle correspondían.

A lei non distingue entre «brecha grande» e «brecha pequena» á hora de esixirche que a rexistres: a diferenza só importa á hora de decidir se hai que avisar a AEPD, as persoas afectadas, as dúas partes ou ningunha. Iso é xustamente o que vemos no resto do artigo.

Que fago na primeira hora?

Antes de pensar en notificacións, hai tres cousas que podes resolver nuns minutos:

1. Detén o fallo se aínda está en marcha. Cambia o contrasinal, revoga o acceso, recupera o dispositivo se é posible. Non borres nada que poida servir para entender que pasou.
2. Anota a hora exacta na que te decataches. É o dato máis importante de todos: de aí empezan a contar as 72 horas, non de cando ocorreu o fallo en realidade.
3. Reúne o que xa sabes, aínda que sexa pouco: que pasou, que tipo de datos hai implicados (nomes, correos, datos de saúde, contas bancarias…) e de cantas persoas, aínda que sexa unha cifra aproximada.

Non necesitas ter a resposta completa para empezar. A AEPD admite notificacións con información parcial, que se completa despois (explicámolo no apartado Como se notifica á AEPD?).

Cando teño que avisar a AEPD e cando non?

A regra do art. 33 RGPD é esta: tes que notificar agás que sexa improbable que a brecha supoña un risco para os dereitos e liberdades das persoas afectadas. Na práctica, iso tradúcese en dous escenarios habituais:

Probablemente non fai falta notificar cando, por exemplo, os datos estaban cifrados e a clave non se viu comprometida, ou cando o dato que se filtrou non permite identificar a ninguén nin causarlle un prexuízo real (un ficheiro con só códigos internos, sen nomes nin datos de contacto).

Probablemente si fai falta notificar cando os datos afectados son identificables e a súa perda, filtración ou uso indebido pode causar un dano real ás persoas: roubo de identidade, prexuízo económico, discriminación, ou cando se trata de datos de categoría especial (saúde, orixe étnica, orientación sexual, afiliación sindical, entre outros).

Aínda que a conclusión sexa «non fai falta notificar á AEPD», iso non te libera dunha obriga: sempre tes que documentar o fallo no teu rexistro interno. Vémolo no apartado Que teño que documentar aínda que non notifique nada?

Como se contan exactamente as 72 horas?

O prazo empeza cando ti tes constancia razoable do fallo, non cando ocorreu de verdade. Se un fallo pasou o luns pero non te decatas ata o sábado, o reloxo das 72 horas empeza o sábado, non o luns.

As 72 horas cóntanse en horas seguidas, non en días laborables: se te decatas un venres ás 18:00, o prazo remata o luns ás 18:00, festivos e fin de semana incluídos. Non hai unha pausa por vacacións nin por peche do negocio.

Este detalle é o que máis confunde: moita xente conta o prazo desde o momento do fallo, e chega tarde sen se decatar. Anotar a data e a hora exactas nas que te decataches, desde o primeiro minuto, é o que che permite calcular ben o prazo.

Que pasa se non chego a tempo?

Se te pasas das 72 horas, a instrución non é «xa non paga a pena avisar»: segue sendo mellor notificar tarde que non notificar. O propio art. 33 RGPD prevé este caso: se a notificación non se fai en prazo, ten que ir acompañada dos motivos da dilación.

Na práctica, iso significa unha frase honesta e sen escusas: que pasou para que o aviso chegue despois das 72 horas (por exemplo, que fixese falta máis tempo para entender o alcance real do fallo). Non é un trámite que desaparece por terse pasado de prazo, é un trámite que se fai igual, explicando o atraso.

Teño que avisar tamén as persoas afectadas?

Ás veces si, ademais de avisar a AEPD. O art. 34 RGPD obriga a comunicar a brecha directamente ás persoas afectadas cando é probable que supoña un risco alto para os seus dereitos: por exemplo, se se filtraron datos bancarios, contrasinais ou datos de saúde que poden usarse na súa contra.

Cando toca avisalas, a comunicación ten que facerse sen dilación indebida e nunha linguaxe clara e sinxela —o mesmo nivel de sinxeleza que esixe o resto da comunicación con clientes—, explicando que pasou, que datos seus están afectados, que consecuencias pode ter e que poden facer elas para protexerse.

Non sempre fai falta este segundo aviso: moitas brechas que si se notifican á AEPD non chegan ao nivel de risco alto que activa o art. 34. A decisión depende do caso concreto, non dunha regra automática.

Como se notifica á AEPD na práctica?

A AEPD explica na súa páxina sobre brechas de seguridade que as notificacións se fan de forma electrónica, a través da súa Sede Electrónica. Nesa mesma páxina, a AEPD pon a disposición de responsables e encargados do tratamento ferramentas de axuda: unha para valorar se un incidente concreto esixe notificación (Asesora Brecha) e outra para preparar e enviar o aviso (Comunica-Brecha RGPD).

O contido mínimo do aviso, segundo o art. 33.3 RGPD, inclúe: que pasou, aproximadamente cantas persoas e cantos datos están afectados, un contacto onde poidan pedir máis información, que consecuencias probables pode ter e que medidas tomaches ou vas tomar. Se ao chegar ás 72 horas aínda non tes toda a información, podes notificar co que saibas e completalo despois por fases: o RGPD permíteo expresamente.

Que teño que documentar aínda que non notifique nada?

Esta é a obriga que máis se pasa por alto. O art. 33.5 RGPD esíxeche documentar todas as brechas de seguridade, notifíquense ou non á AEPD: os feitos relacionados coa brecha, os seus efectos e as medidas correctivas adoptadas.

Ese rexistro ten que incluír, como mínimo:

• A data na que ocorreu o fallo e a data na que te decataches.
• Que pasou.
• Que tipo de datos e de cantas persoas se viron afectadas, aproximadamente.
• Que consecuencias pode ter para esas persoas.
• Que medidas tomaches, ou vas tomar, para solucionalo e para que non volva pasar.

Se nunca ocorreu ningún fallo no teu negocio, o teu rexistro pode estar baleiro: iso non é un problema, é o normal, e esa folla en branco xa cumpre coa lei. O que si sería un problema é non ter o rexistro preparado para o día que faga falta.

Que pasa se non cumpro isto?

A AEPD é quen vixía isto en España. Pode pedir explicacións, ordenar cambios, avisar ou poñer unha multa. O RGPD fixa os máximos posibles en dous niveis: ata 10 millóns de euros ou o 2 % da facturación mundial anual, e ata 20 millóns ou o 4 %, segundo a infracción (art. 83 RGPD); aplícase a cifra máis alta das dúas.

Na práctica, esas cifras son o teito legal, non o habitual: a sanción gradúase segundo a gravidade, o tamaño do negocio e se colaboraches. Un negocio pequeno que rexistra os seus incidentes e notifica cando toca non está nese escenario. Por iso cómpre ter o procedemento montado con calma, antes de que faga falta usalo, e non improvisalo o día que ocorre un fallo de verdade.

Checklist das primeiras 72 horas

Un resumo para ter a man o día que faga falta, non unha lista para memorizar hoxe:

1. Contén o fallo. Cambia contrasinais, revoga accesos, recupera o que poidas.
2. Anota a hora exacta na que te decataches. De aí contan as 72 horas.
3. Reúne o que sabes: que pasou, que datos e de cantas persoas, aproximadamente.
4. Valora o risco para as persoas afectadas: poden sufrir un prexuízo real?
5. Se hai risco, notifícallo á AEPD pola Sede Electrónica, dentro das 72 horas ou explicando o motivo do atraso.
6. Se o risco é alto para as persoas, avísaas tamén a elas, sen dilación e con linguaxe clara.
7. Documenta o incidente no teu rexistro interno, fose necesario notificar ou non.
8. Revisa que medida evita que volva pasar, e apúntaa no propio rexistro.

Preguntas frecuentes

As 72 horas contan desde que pasou o fallo ou desde que me decato? Desde que te decatas. Se o fallo ocorreu antes pero non o descobres ata máis tarde, o prazo empeza no momento do descubrimento, non no do fallo.

Perder un móbil de traballo conta como brecha de seguridade? Si, se ese móbil ten acceso a datos persoais: contactos, correos, aplicacións con datos de clientes ou empregados. Conta igual que un ataque informático a efectos de rexistro e, se fai falta, de notificación.

Teño que notificar aínda que non estea seguro de se hai risco? A regra é notificar agás que sexa improbable que haxa risco. Se tes dúbidas razoables, a opción máis prudente é notificar; en calquera caso, documenta o incidente sempre, notifiques ou non.

Que pasa se o meu rexistro de incidentes está baleiro? Non pasa nada: significa que, polo de agora, non ocorreu ningún fallo de seguridade no teu negocio. Un rexistro baleiro xa cumpre coa obriga do art. 33.5 RGPD; o importante é telo listo para o día que faga falta usalo.

Podo notificar á AEPD con información incompleta? Si. O art. 33.4 RGPD permite facilitar a información por fases se non está toda dispoñible ao principio, sempre que non o dilates sen motivo.

Fontes oficiais

• Reglamento (UE) 2016/679 (RGPD), artigos 4.12, 5, 32, 33, 34 e 83 — texto oficial en EUR-Lex.
• AEPD — «Brechas de seguridad», inclúe o procedemento de notificación, o prazo de 72 horas e as ferramentas Asesora Brecha e Comunica-Brecha RGPD.
• Agencia Española de Protección de Datos (AEPD).

---

Como seguir a partir de aquí

Detectar un fallo de seguridade dá vertixe, sobre todo se non sabes por onde empezar. En Tranquilia tes un cuestionario guiado de 6 preguntas que che di se hai que avisar a AEPD e, se toca, déixache preparado o borrador do aviso e o rexistro interno do incidente, listos para repasar coa túa xestoría.

👉 Empeza o cuestionario de brecha de seguridade — gratis para ata 2 empresas, sen tarxeta e sen límite de tempo.

---

Informe de contido elaborado con Tranquilia — non constitúe unha certificación oficial nin un ditame xurídico. Se tes dúbidas sobre un caso concreto, consulta coa túa xestoría ou cun profesional do dereito.