Checklist ante una brecha de datos: las primeras 72 horas

La Unión Europea está debatiendo si deberías tener más tiempo para notificar una brecha de datos. La propuesta Ómnibus Digital de la Comisión, publicada en noviembre de 2025, solo exigiría notificar una brecha a la autoridad cuando sea probable que suponga un alto riesgo para las personas, y ampliaría el plazo de 72 a 96 horas, según un resumen de Maples Group. Además, canalizaría las notificaciones a través de un punto único de entrada gestionado por ENISA, compartido con NIS2, DORA y otros regímenes de notificación de incidentes. En febrero de 2026, las autoridades europeas de protección de datos respaldaron tanto el umbral más alto como el plazo más largo en un dictamen conjunto del CEPD y el SEPD, y en junio el CEPD adoptó una plantilla común de notificación de brechas, que estuvo en consulta pública hasta el 5 de agosto de 2026.

Nada de esto es ley todavía. La parte de protección de datos del Ómnibus sigue en el Consejo, donde la Presidencia irlandesa dirige las negociaciones, según informó noyb este mes. Hasta que se adopte y se aplique un texto definitivo, el artículo 33 del RGPD dice lo mismo que desde 2018: hay que notificar a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de una violación de la seguridad de los datos personales.

En la mayoría de las pequeñas y medianas empresas, quien se entera primero no es un abogado ni el delegado de protección de datos. Es quien administra los sistemas. Salta una alerta, un compañero reenvía un aviso de inicio de sesión sospechoso, desaparece un portátil de un coche, y el reloj empieza a correr en el equipo de TI. Esta lista de comprobación está pensada para esa persona. Es una orientación general y no asesoramiento jurídico, y la decisión de notificar corresponde a tu organización como responsable del tratamiento, pero las primeras 72 horas salen mucho mejor cuando los hechos llegan ordenados a esa decisión.

La lista de un vistazo

• En la primera hora: anota la hora exacta en que tuviste constancia, abre un registro del incidente, avisa a quien decide sobre la notificación y conserva las evidencias antes de limpiar nada.
• Antes de la hora 24: contén la brecha, determina su alcance (sistemas, tipos de datos, personas, periodo) y pregunta a cualquier proveedor implicado qué sabe.
• Antes de la hora 48: evalúa el riesgo para las personas afectadas y deja por escrito el razonamiento, sea cual sea el resultado.
• Antes de la hora 72: notifica a la autoridad de control si se alcanza el umbral, por fases si el panorama sigue incompleto.
• Sin dilación indebida: informa directamente a las personas afectadas cuando el riesgo para ellas sea alto.
• Después: termina la remediación, registra la causa raíz y conserva la brecha documentada aunque nunca la hayas notificado.

Primero, confirma que es una brecha de datos personales

El RGPD define la violación de la seguridad de los datos personales como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a esos datos. Eso abarca mucho más que un robo. Las Directrices 9/2022 del CEPD sobre notificación de violaciones las agrupan en tres tipos, y los equipos de TI suelen subestimar los dos últimos.

• Confidencialidad: alguien vio datos que no debía ver. Un buzón comprometido, un correo con una hoja de cálculo de clientes enviado a la persona equivocada, un bucket de almacenamiento que quedó público.
• Integridad: los datos se modificaron sin autorización. El caso clásico es un atacante que cambia en silencio los datos bancarios de las fichas de proveedores.
• Disponibilidad: los datos se perdieron o quedaron inaccesibles. Un ransomware que cifra una base de datos de clientes es una brecha de datos personales aunque no se haya copiado nada, y también lo es un borrado sin copia de seguridad de la que restaurar.

No todo incidente de seguridad afecta a datos personales. Pero casi toda brecha de datos personales empieza siendo un incidente de seguridad corriente en la cola de alguien, y por eso quien lo ve primero debería hacerse la pregunta pronto y no al tercer día.

Ten claro cuándo empiezan de verdad las 72 horas

El reloj corre desde que tienes constancia, no desde el momento en que ocurrió la brecha. Las directrices del CEPD consideran que tienes constancia cuando existe un grado razonable de certeza de que se ha producido un incidente de seguridad que ha comprometido datos personales. Una simple alerta todavía no es constancia, y una investigación breve para confirmar lo ocurrido es aceptable. Lo que las directrices no permiten es una investigación sin prisa que aplace convenientemente el momento en que decides que lo sabías.

De ahí salen dos consecuencias prácticas. Las 72 horas no son horas laborables, así que una brecha confirmada un viernes a las cinco de la tarde vence el lunes a las cinco de la tarde. Y la hora en que tuviste constancia es la referencia con la que se mide cada decisión posterior, así que hay que anotarla al minuto. La guía de la ICO, la autoridad británica de protección de datos, para pequeñas organizaciones lo dice con claridad: pon en marcha el cronómetro y empieza un registro, incluso antes de saber si la brecha hay que notificarla.

En la primera hora

1. Anota la hora y el origen. Cuándo tuviste constancia, quién te avisó, por qué canal y qué dijo exactamente. Sus palabras, no tu resumen.
2. Abre ya un registro del incidente. No esperes a tener el panorama completo. Un registro escueto abierto en la primera hora vale más que uno exhaustivo abierto el segundo día, porque el registro es donde vive la cronología.
3. Avisa a quien toma la decisión. Puede ser el delegado de protección de datos, una persona responsable de privacidad o un fundador. TI dirige la respuesta, pero es la organización quien decide qué se notifica, y esa persona necesita la mayor parte posible de las 72 horas, no lo que sobre.
4. Conserva antes de limpiar. Exporta los logs relevantes antes de que los periodos de retención los eliminen, haz instantáneas de los sistemas afectados y guarda el correo de phishing con sus cabeceras completas. Reinstalar un portátil parece productivo, y destruye justo las evidencias que necesitarás para saber a qué se accedió.

Antes de la hora 24: contén la brecha y establece los hechos

La contención y la delimitación del alcance van en paralelo, y ambas alimentan la notificación.

• Contén. Revoca las sesiones y los tokens activos, restablece las credenciales afectadas, desactiva las cuentas comprometidas, aísla los equipos, retira el acceso público del almacenamiento expuesto y borra en remoto un dispositivo perdido si puedes. Si se trata de un correo mal dirigido, contacta con el destinatario, pídele que lo elimine y consigue su confirmación por escrito.
• Delimita el alcance. Qué sistemas, qué tipos de datos, aproximadamente cuántas personas y registros, y en qué periodo. En esta fase bastan cifras aproximadas, ya que el propio reglamento pide números aproximados.
• Separa hechos de sospechas. Anota lo que has confirmado y lo que aún sospechas como entradas distintas, cada una con su marca de tiempo. Una notificación redactada a partir de una cronología limpia se escribe antes y se corrige más fácilmente después.
• Revisa la cadena de proveedores. Si un proveedor trata los datos por cuenta tuya, el artículo 33, apartado 2, le obliga a avisarte sin dilación indebida, así que pregúntale qué sabe y desde cuándo. Si el proveedor eres tú, tu obligación es avisar rápido a tu cliente, porque él es el responsable del tratamiento y la notificación a la autoridad le corresponde a él.

Antes de la hora 48: evalúa el riesgo para las personas

La prueba es el riesgo para las personas cuyos datos se vieron afectados, no la vergüenza para la empresa. Estas preguntas hacen la mayor parte del trabajo.

• ¿Qué tipo de datos son? Nombres y direcciones de correo están en un extremo. Datos financieros, documentos de identidad, información de salud y las demás categorías especiales están en el otro.
• ¿Cuántas personas y quiénes son? La escala importa, y la vulnerabilidad también. Los datos de menores elevan el riesgo muy deprisa.
• ¿Con qué facilidad se puede identificar a alguien? Ya sea con los datos por sí solos o combinados con lo que ya es público.
• ¿Qué podría pasar de verdad? Fraude, suplantación de identidad, discriminación o un perjuicio real para las personas.
• ¿Sigue funcionando la protección? Un cifrado robusto con claves que no se vieron comprometidas puede cambiar la respuesta, sobre todo cuando la brecha afecta a la confidencialidad.

La evaluación acaba en uno de tres sitios. Si es improbable que la brecha suponga un riesgo para las personas, la documentas y no notificas. Si hay riesgo, notificas a la autoridad de control. Si el riesgo es alto, además informas a las personas afectadas. Sea cual sea el resultado, deja por escrito el razonamiento. El artículo 33, apartado 5, exige documentar toda violación de la seguridad de los datos personales, con sus hechos, sus efectos y las medidas correctivas adoptadas, y ese registro es lo que leerá la autoridad si algún día pregunta por qué decidiste no notificar una brecha.

Antes de la hora 72: notifica, aunque el panorama esté incompleto

Según el artículo 33, apartado 3, una notificación a la autoridad de control debe cubrir cuatro cosas.

• La naturaleza de la brecha, incluidas, cuando sea posible, las categorías y el número aproximado de personas y de registros afectados.
• El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto.
• Las consecuencias probables de la brecha.
• Las medidas adoptadas o propuestas, incluidas las destinadas a mitigar los posibles efectos negativos.

No hace falta tenerlo todo a la vez. El artículo 33, apartado 4, permite facilitar la información de manera gradual, así que envía lo que sepas dentro del plazo y complétalo a medida que avance la investigación. Si llegas tarde a las 72 horas, la notificación tiene que ir acompañada de los motivos del retraso. La plantilla común del CEPD pretende dar a estos campos la misma forma en toda Europa cuando las autoridades de protección de datos la implanten, con un calendario que el Comité fijará tras la consulta. Mientras tanto, usa el formulario de tu autoridad nacional.

Cuando el riesgo para las personas es alto, el artículo 34 exige comunicárselo sin dilación indebida y en un lenguaje claro y sencillo: qué ocurrió, con quién pueden contactar, las consecuencias probables y lo que has hecho al respecto. Hay excepciones limitadas, como los datos que estaban cifrados y siguen siendo ininteligibles. La ICO recomienda además dar consejos concretos sobre cómo protegerse, y la clave está en lo de concretos. “Cambia la contraseña de este servicio y la de cualquier otro donde la hayas reutilizado, y desconfía de cualquier correo que cite tu historial de pedidos” ayuda. “Mantente alerta” no.

Después de las 72 horas

• Termina el trabajo de remediación y sigue cada tarea hasta cerrarla. El cabo suelto que nadie tiene asignado es el que se convierte en la siguiente brecha.
• Registra la causa raíz, no solo la solución. “Restablecer la contraseña” es la solución. “No había autenticación multifactor en el buzón compartido” es la causa.
• Actualiza tu procedimiento de brechas con lo que te frenó esta vez.
• Conserva el registro. La brecha queda documentada tanto si se notificó como si no.

Si operas fuera de la UE y del Reino Unido, tu normativa puede usar otro umbral o contar en días en lugar de horas. La estructura de esta lista sigue valiendo: registrar la constancia, contener, delimitar, evaluar, decidir, notificar y documentar. Comprueba el plazo exacto con tu autoridad antes de necesitarlo.

Dónde encaja ISO Mate

Lo más difícil de las primeras 72 horas casi nunca es la solución técnica. Es mantener un único registro fiable mientras varias personas trabajan en el problema desde sitios distintos. Ese es el trabajo de la Gestión de Incidentes en ISO Mate.

• Un registro desde el primer minuto. Crea un incidente con la categoría Violación de datos e ISO Mate te pide Personas afectadas, Tipos de datos comprometidos y la Fecha de descubrimiento, y calcula a partir de esa fecha el Plazo de notificación de 72 horas. El campo de descubrimiento guarda el día, no la hora, así que escribe también en la descripción la hora exacta en que tuviste constancia.
• Un plazo que todos ven. La tarjeta Violación de datos RGPD del incidente muestra las Personas afectadas, el Plazo de notificación y si se ha notificado a la autoridad supervisora y cuándo. Marca la brecha como de alto riesgo para los interesados y se añade el elemento Interesados notificados. La tarjeta indica Conforme o Acción requerida, así que nadie tiene que deducir el estado de memoria.
• Cada persona con su rol. Añade personas al Equipo de respuesta como Informante, Responsable o Interesado. Un incidente no puede pasar a En investigación hasta que tenga un Responsable, y quienes tienen ese rol reciben un recordatorio cuando un incidente que sigue Abierto o En investigación se acerca a las 72 horas desde que se registró, y otro cuando las supera. Un motivo más para registrarlo en cuanto lo sepas.
• Cabos sueltos con dueño. Vincula una tarea a cada paso de contención y remediación, y vincula notas para la evaluación del riesgo y el razonamiento de la decisión de notificar. Un incidente no puede marcarse como Resuelto sin una Causa raíz y una Descripción de la resolución, ni como Cerrado hasta que todas sus tareas vinculadas estén completas.
• Un registro de brechas que se construye solo. Cada cambio queda en la línea de tiempo de actividad del incidente, con el usuario y la marca de tiempo. La pestaña Cumplimiento RGPD de los Informes de incidentes muestra el total de violaciones de datos, cuántas se notificaron a la autoridad y a los afectados, las notificaciones vencidas y una tasa de cumplimiento, y las listas de incidentes se exportan a CSV o PDF con tus filtros aplicados.

ISO Mate no presenta la notificación ante tu autoridad ni decide si una brecha hay que notificarla. Esas decisiones siguen siendo de tu organización. Lo que te da es la cronología, los responsables y las evidencias en un mismo sitio cuando las tomes. La guía de seguimiento de incidentes explica cada campo.

Ensaya antes de necesitarlo

Si has aplicado la plantilla del marco RGPD en Gestión de Cumplimiento, ya tienes un punto de partida: un borrador de la Política de Respuesta ante Violaciones de Datos y un procedimiento de notificación de violaciones de datos. Los ocho pasos del procedimiento van desde la detección y la contención hasta la notificación del artículo 33 y el registro de brechas, y terminan con una revisión una vez cerrada la brecha. El procedimiento viene vinculado a los controles de detección, respuesta y notificación de violaciones de la plantilla. Publícalo, dale el patrón de recurrencia Anual e ISO Mate generará cada año una tarea con esos pasos, como se explica en gestión de procedimientos. Ejecuta esa tarea como un simulacro con un escenario inventado, cronometra cada paso y encontrarás los huecos mientras no corre ningún reloj de verdad.

Puede que el plazo acabe siendo de 96 horas y que el umbral suba. Ninguna de las dos cosas cambia lo que decide cómo salen los tres primeros días: si alguien anotó la hora, abrió un registro y dio un dueño a cada cabo suelto. Si prefieres tenerlo listo antes de que salte la próxima alerta, todas las cuentas de ISO Mate empiezan con una prueba gratuita de 14 días.