Brecha de datos: las 72 horas no son un plazo general para avisar a clientes
La AEPD distingue la notificación a la autoridad y la comunicación a afectados. Cómo ordenar destinatarios, riesgo y registro del incidente.
En la gestión de una brecha de datos personales, autoridad y personas afectadas son destinatarios distintos. Cuando corresponda notificar a la autoridad de control, el artículo 33 del RGPD exige actuar sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia. Si se supera ese plazo, hay que justificar la dilación. No es una ventana general para esperar antes de avisar a clientes.
La comunicación a los afectados, con las excepciones previstas en el artículo 34 del RGPD, responde a la probabilidad de un alto riesgo para sus derechos y libertades y debe realizarse sin dilación indebida. La FAQ de la AEPD subraya que no establece para ese aviso un plazo de 72 horas. El objetivo es que las personas puedan reaccionar y protegerse; tener un calendario de notificación administrativa no responde por sí solo a esa necesidad.
Para organizar el trabajo, proponemos un registro con líneas separadas: momento en que se tiene constancia, hechos conocidos, evaluación del riesgo, autoridad competente y decisión sobre comunicación a afectados. Añade el fundamento de cada decisión y quién asume la responsabilidad. Es una estructura de trabajo, no una evaluación automática de un incidente ni una autorización para aplazar medidas urgentes.
Pensemos en un caso ficticio en el que un equipo encuentra un posible acceso no autorizado a información personal. Primero debe gestionar y aclarar lo ocurrido; no basta con etiquetarlo como fallo informático y arrancar un contador sin análisis. La AEPD recuerda además la obligación de documentar hechos, efectos y medidas correctivas incluso cuando se considere que no existen riesgos para los derechos y libertades.
Sus herramientas de ayuda apoyan la evaluación, pero no sustituyen al responsable. Una pequeña empresa debería tener identificado cómo escalar el incidente y localizar sus recursos de respuesta antes de necesitarlos. Esta guía no ha investigado una brecha real, no determina la autoridad de una organización concreta y no presenta la notificación como prueba de que todos sus deberes estén cumplidos.