Derecho digital, privacidad e IA
Una brecha no se gestiona empezando por el formulario de la AEPD. Primero hay que contener el incidente, conservar evidencia, identificar datos y afectados, valorar el riesgo y documentar la decisión de notificar o no.
Revisión jurídica: Álvaro Ruipérez Candón, ScandoUp Global Legal. Actualizado el 25 de agosto de 2026.
Respuesta breve
Una brecha no se gestiona empezando por el formulario de la AEPD. Primero hay que contener el incidente, conservar evidencia, identificar datos y afectados, valorar el riesgo y documentar la decisión de notificar o no.
Qué exige el marco aplicable
El artículo 33 del RGPD exige notificar a la autoridad competente sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que el responsable tiene constancia, salvo que sea improbable que exista riesgo para los derechos y libertades. Si el riesgo es alto, puede ser necesario comunicar también a las personas afectadas.
La aplicación concreta depende de los hechos, el rol de cada parte, los contratos y la normativa sectorial. Por eso conviene separar el diagnóstico general de la decisión documentada para el caso.
Checklist práctico
- Activar un responsable de incidente y registrar la hora de conocimiento
- Contener el acceso o la filtración sin destruir evidencias
- Identificar sistemas, categorías de datos y personas afectadas
- Valorar impacto, probabilidad y medidas ya existentes
- Decidir y documentar la notificación a la AEPD y a afectados
- Preparar medidas correctoras y seguimiento
Errores frecuentes
- Esperar a conocer todos los detalles antes de iniciar la evaluación
- Confundir un incidente técnico con ausencia de brecha de datos
- No documentar la decisión cuando finalmente no se notifica
- Enviar comunicaciones improvisadas que agravan el riesgo
Fuente oficial
Para contrastar la obligación, consulta AEPD: notificación de brechas de datos personales. Las guías y formularios pueden actualizarse; debe revisarse siempre la versión vigente al actuar.
Cómo puede ayudar ScandoUp
ScandoUp analiza el alcance, ordena hechos y documentación, prepara el plan de actuación y coordina las áreas jurídica, técnica y de seguridad necesarias. Consulta el servicio de cumplimiento digital y protección de datos o nuestra cobertura en toda España.
Preguntas frecuentes
¿Siempre hay que notificar una brecha?
No. Debe evaluarse el riesgo. Incluso si no se notifica, la organización debe documentar la brecha, la evaluación y las medidas adoptadas.
¿Las 72 horas cuentan fines de semana?
El plazo se computa en horas. Por eso el protocolo debe poder activarse fuera del horario ordinario.
Despacho en Madrid · Atención en toda España · Valoración 5,0/5 en Google