---
title: "Brechas de seguridade: que facer nas primeiras 72 horas"
description: "Que é unha brecha de seguridade de datos, cando tes 72 horas para avisar a AEPD e que debes documentar aínda que non notifiques nada, coas fontes oficiais do RGPD e da AEPD."
published: "2026-07-16"
updated: "2026-07-16"
author: "Tranquilia by GRAC SA"
canonical: "https://tranquilia.es/gl/blog/brechas-de-seguridad-primeras-72-horas"
note: "Información xeral sobre normativa. Non substitúe o asesoramento dun avogado nin a análise do teu caso concreto."
---


<!--
  Aviso de honestidade (spanish-legal-copy §4.6, §5 e §7): as citas legais
  deste artigo limítanse ás áncoras seguras do RGPD (arts. 4.12, 5, 32,
  33, 34, 83) e á páxina oficial da AEPD sobre brechas de seguridade,
  verificada o 16 de xullo de 2026 contra a fonte primaria (aepd.es).
  Non se cita ningún caso concreto de sanción da AEPD por brecha de
  seguridade: non se puido verificar ningún contra unha fonte primaria
  dentro desta tarefa, así que non aparece ningún no texto. Tampouco se
  afirma que apartado exacto do art. 83 (83.4 ou 83.5) se aplica a un fallo
  de notificación de brecha: a especificación do proxecto pide non
  parafrasear ese detalle sen revisión xurídica, así que o artigo liga
  á fonte en vez de resumila. Ambos os puntos están tamén en
  'unverified_claims' do retorno desta tarefa.
-->

# Brechas de seguridade: que facer nas primeiras 72 horas

**Resposta directa:** se no teu negocio se perden, filtran ou rouban datos persoais, tes **72 horas desde que te decatas** —non desde que ocorreu— para decidir se hai que avisar a Agencia Española de Protección de Datos (AEPD), segundo o artigo 33 do Reglamento (UE) 2016/679 (RGPD). Moitas brechas pequenas non necesitan notificación á AEPD, pero **todas**, notifíquense ou non, tes que apuntalas no teu rexistro interno de incidentes (art. 33.5 RGPD). Esta guía, revisada o 16 de xullo de 2026, explica que facer nas primeiras horas, cando avisar e cando non, con ligazóns ás fontes oficiais.

## Sumario

- [Que é exactamente unha brecha de seguridade de datos?](#que-es)
- [Que fago na primeira hora?](#primera-hora)
- [Cando teño que avisar a AEPD e cando non?](#cuando-avisar)
- [Como se contan exactamente as 72 horas?](#72-horas)
- [Que pasa se non chego a tempo?](#fuera-de-plazo)
- [Teño que avisar tamén as persoas afectadas?](#personas-afectadas)
- [Como se notifica á AEPD na práctica?](#como-notificar)
- [Que teño que documentar aínda que non notifique nada?](#documentar-siempre)
- [Que pasa se non cumpro isto?](#que-pasa-si-no)
- [Checklist das primeiras 72 horas](#checklist)
- [Preguntas frecuentes](#faq)
- [Fontes oficiais](#fuentes)

## Que é exactamente unha brecha de seguridade de datos? {#que-es}

Unha **brecha de seguridade** (o RGPD chámalle «violación da seguridade dos datos persoais», art. 4.12) é calquera fallo que afecta datos persoais que gardas: pérdense, destrúense, cámbianse sen permiso ou chegan a alguén que non os debía ver.

Non fai falta un ataque informático para que conte. Son brechas de seguridade, entre outros, estes casos:

- Un portátil ou un móbil de traballo perdido ou roubado, con datos de clientes ou empregados dentro.
- Un correo cunha nómina, unha lista de clientes ou un contrato enviado á persoa equivocada.
- Unha carpeta con documentos en papel esquecida nun sitio público.
- Un ataque informático, un virus ou un ransomware que entra nos teus sistemas.
- Un acceso de alguén do teu equipo a datos que non lle correspondían.

A lei non distingue entre «brecha grande» e «brecha pequena» á hora de esixirche que a rexistres: a diferenza só importa á hora de decidir se hai que avisar a AEPD, as persoas afectadas, as dúas partes ou ningunha. Iso é xustamente o que vemos no resto do artigo.

## Que fago na primeira hora? {#primera-hora}

Antes de pensar en notificacións, hai tres cousas que podes resolver nuns minutos:

1. **Detén o fallo se aínda está en marcha.** Cambia o contrasinal, revoga o acceso, recupera o dispositivo se é posible. Non borres nada que poida servir para entender que pasou.
2. **Anota a hora exacta na que te decataches.** É o dato máis importante de todos: de aí empezan a contar as 72 horas, non de cando ocorreu o fallo en realidade.
3. **Reúne o que xa sabes**, aínda que sexa pouco: que pasou, que tipo de datos hai implicados (nomes, correos, datos de saúde, contas bancarias…) e de cantas persoas, aínda que sexa unha cifra aproximada.

Non necesitas ter a resposta completa para empezar. A AEPD admite notificacións con información parcial, que se completa despois (explicámolo no apartado [Como se notifica á AEPD?](#como-notificar)).

## Cando teño que avisar a AEPD e cando non? {#cuando-avisar}

A regra do art. 33 RGPD é esta: tes que notificar **agás que sexa improbable que a brecha supoña un risco para os dereitos e liberdades das persoas afectadas**. Na práctica, iso tradúcese en dous escenarios habituais:

**Probablemente non fai falta notificar** cando, por exemplo, os datos estaban cifrados e a clave non se viu comprometida, ou cando o dato que se filtrou non permite identificar a ninguén nin causarlle un prexuízo real (un ficheiro con só códigos internos, sen nomes nin datos de contacto).

**Probablemente si fai falta notificar** cando os datos afectados son identificables e a súa perda, filtración ou uso indebido pode causar un dano real ás persoas: roubo de identidade, prexuízo económico, discriminación, ou cando se trata de datos de categoría especial (saúde, orixe étnica, orientación sexual, afiliación sindical, entre outros).

Aínda que a conclusión sexa «non fai falta notificar á AEPD», iso **non** te libera dunha obriga: sempre tes que documentar o fallo no teu rexistro interno. Vémolo no apartado [Que teño que documentar aínda que non notifique nada?](#documentar-siempre)

## Como se contan exactamente as 72 horas? {#72-horas}

O prazo empeza **cando ti tes constancia razoable do fallo**, non cando ocorreu de verdade. Se un fallo pasou o luns pero non te decatas ata o sábado, o reloxo das 72 horas empeza o sábado, non o luns.

As 72 horas cóntanse en horas seguidas, non en días laborables: se te decatas un venres ás 18:00, o prazo remata o luns ás 18:00, festivos e fin de semana incluídos. Non hai unha pausa por vacacións nin por peche do negocio.

Este detalle é o que máis confunde: moita xente conta o prazo desde o momento do fallo, e chega tarde sen se decatar. Anotar a data e a hora exactas nas que te decataches, desde o primeiro minuto, é o que che permite calcular ben o prazo.

## Que pasa se non chego a tempo? {#fuera-de-plazo}

Se te pasas das 72 horas, a instrución non é «xa non paga a pena avisar»: segue sendo mellor notificar tarde que non notificar. O propio art. 33 RGPD prevé este caso: se a notificación non se fai en prazo, ten que ir acompañada dos motivos da dilación.

Na práctica, iso significa unha frase honesta e sen escusas: que pasou para que o aviso chegue despois das 72 horas (por exemplo, que fixese falta máis tempo para entender o alcance real do fallo). Non é un trámite que desaparece por terse pasado de prazo, é un trámite que se fai igual, explicando o atraso.

## Teño que avisar tamén as persoas afectadas? {#personas-afectadas}

Ás veces si, ademais de avisar a AEPD. O art. 34 RGPD obriga a comunicar a brecha directamente ás persoas afectadas cando é probable que supoña **un risco alto** para os seus dereitos: por exemplo, se se filtraron datos bancarios, contrasinais ou datos de saúde que poden usarse na súa contra.

Cando toca avisalas, a comunicación ten que facerse **sen dilación indebida** e nunha linguaxe clara e sinxela —o mesmo nivel de sinxeleza que esixe o resto da comunicación con clientes—, explicando que pasou, que datos seus están afectados, que consecuencias pode ter e que poden facer elas para protexerse.

Non sempre fai falta este segundo aviso: moitas brechas que si se notifican á AEPD non chegan ao nivel de risco alto que activa o art. 34. A decisión depende do caso concreto, non dunha regra automática.

## Como se notifica á AEPD na práctica? {#como-notificar}

A AEPD explica na súa páxina sobre brechas de seguridade que **as notificacións se fan de forma electrónica**, a través da súa Sede Electrónica. Nesa mesma páxina, a AEPD pon a disposición de responsables e encargados do tratamento ferramentas de axuda: unha para valorar se un incidente concreto esixe notificación (**Asesora Brecha**) e outra para preparar e enviar o aviso (**Comunica-Brecha RGPD**).

O contido mínimo do aviso, segundo o art. 33.3 RGPD, inclúe: que pasou, aproximadamente cantas persoas e cantos datos están afectados, un contacto onde poidan pedir máis información, que consecuencias probables pode ter e que medidas tomaches ou vas tomar. Se ao chegar ás 72 horas aínda non tes toda a información, podes notificar co que saibas e completalo despois por fases: o RGPD permíteo expresamente.

## Que teño que documentar aínda que non notifique nada? {#documentar-siempre}

Esta é a obriga que máis se pasa por alto. O art. 33.5 RGPD esíxeche documentar **todas** as brechas de seguridade, notifíquense ou non á AEPD: os feitos relacionados coa brecha, os seus efectos e as medidas correctivas adoptadas.

Ese rexistro ten que incluír, como mínimo:

- A data na que ocorreu o fallo e a data na que te decataches.
- Que pasou.
- Que tipo de datos e de cantas persoas se viron afectadas, aproximadamente.
- Que consecuencias pode ter para esas persoas.
- Que medidas tomaches, ou vas tomar, para solucionalo e para que non volva pasar.

Se nunca ocorreu ningún fallo no teu negocio, o teu rexistro pode estar baleiro: iso non é un problema, é o normal, e esa folla en branco xa cumpre coa lei. O que si sería un problema é non ter o rexistro preparado para o día que faga falta.

## Que pasa se non cumpro isto? {#que-pasa-si-no}

A AEPD é quen vixía isto en España. Pode pedir explicacións, ordenar cambios, avisar ou poñer unha multa. O RGPD fixa os máximos posibles en dous niveis: ata 10 millóns de euros ou o 2 % da facturación mundial anual, e ata 20 millóns ou o 4 %, segundo a infracción (art. 83 RGPD); aplícase a cifra máis alta das dúas.

Na práctica, esas cifras son o teito legal, non o habitual: a sanción gradúase segundo a gravidade, o tamaño do negocio e se colaboraches. Un negocio pequeno que rexistra os seus incidentes e notifica cando toca non está nese escenario. Por iso cómpre ter o procedemento montado con calma, antes de que faga falta usalo, e non improvisalo o día que ocorre un fallo de verdade.

<!-- ⚠ REVISIÓN XURÍDICA: non se especifica aquí se un fallo de notificación
     (arts. 33-34 RGPD) cae baixo o nivel de multa do art. 83.4 ou do 83.5:
     ese detalle de graduación esixe revisión xurídica segundo o §5 do skill
     spanish-legal-copy e non se verificou contra o texto completo do
     art. 83 dentro desta tarefa. -->

## Checklist das primeiras 72 horas {#checklist}

Un resumo para ter a man o día que faga falta, non unha lista para memorizar hoxe:

1. **Contén o fallo.** Cambia contrasinais, revoga accesos, recupera o que poidas.
2. **Anota a hora exacta na que te decataches.** De aí contan as 72 horas.
3. **Reúne o que sabes**: que pasou, que datos e de cantas persoas, aproximadamente.
4. **Valora o risco** para as persoas afectadas: poden sufrir un prexuízo real?
5. **Se hai risco, notifícallo á AEPD** pola Sede Electrónica, dentro das 72 horas ou explicando o motivo do atraso.
6. **Se o risco é alto para as persoas, avísaas tamén a elas**, sen dilación e con linguaxe clara.
7. **Documenta o incidente no teu rexistro interno**, fose necesario notificar ou non.
8. **Revisa que medida evita que volva pasar**, e apúntaa no propio rexistro.

## Preguntas frecuentes {#faq}

**As 72 horas contan desde que pasou o fallo ou desde que me decato?**
Desde que te decatas. Se o fallo ocorreu antes pero non o descobres ata máis tarde, o prazo empeza no momento do descubrimento, non no do fallo.

**Perder un móbil de traballo conta como brecha de seguridade?**
Si, se ese móbil ten acceso a datos persoais: contactos, correos, aplicacións con datos de clientes ou empregados. Conta igual que un ataque informático a efectos de rexistro e, se fai falta, de notificación.

**Teño que notificar aínda que non estea seguro de se hai risco?**
A regra é notificar agás que sexa improbable que haxa risco. Se tes dúbidas razoables, a opción máis prudente é notificar; en calquera caso, documenta o incidente sempre, notifiques ou non.

**Que pasa se o meu rexistro de incidentes está baleiro?**
Non pasa nada: significa que, polo de agora, non ocorreu ningún fallo de seguridade no teu negocio. Un rexistro baleiro xa cumpre coa obriga do art. 33.5 RGPD; o importante é telo listo para o día que faga falta usalo.

**Podo notificar á AEPD con información incompleta?**
Si. O art. 33.4 RGPD permite facilitar a información por fases se non está toda dispoñible ao principio, sempre que non o dilates sen motivo.

## Fontes oficiais {#fuentes}

- Reglamento (UE) 2016/679 (RGPD), artigos 4.12, 5, 32, 33, 34 e 83 — texto oficial en [EUR-Lex](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32016R0679).
- [AEPD — «Brechas de seguridad»](https://www.aepd.es/es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/brechas-de-seguridad), inclúe o procedemento de notificación, o prazo de 72 horas e as ferramentas Asesora Brecha e Comunica-Brecha RGPD.
- [Agencia Española de Protección de Datos (AEPD)](https://www.aepd.es).

---

### Como seguir a partir de aquí

Detectar un fallo de seguridade dá vertixe, sobre todo se non sabes por onde empezar. En Tranquilia tes un cuestionario guiado de 6 preguntas que che di se hai que avisar a AEPD e, se toca, déixache preparado o borrador do aviso e o rexistro interno do incidente, listos para repasar coa túa xestoría.

<!-- CTA contextual, dominio como placeholder — nunca en duro (packages/brand/brand.ts, §23). -->
👉 [Empeza o cuestionario de brecha de seguridade](tranquilia.es) — gratis para ata 2 empresas, sen tarxeta e sen límite de tempo.

---

*Informe de contido elaborado con Tranquilia — non constitúe unha certificación oficial nin un ditame xurídico. Se tes dúbidas sobre un caso concreto, consulta coa túa xestoría ou cun profesional do dereito.*