Imagen generada con IA.
Cuando una empresa detecta una fuga de datos personales, el primer impulso suele ser el silencio. Se teme que notificar a la Agencia Española de Protección de Datos (AEPD) sea, en la práctica, autodenunciarse y abrir la puerta a una sanción segura. Sin embargo, los propios datos de actividad de la Agencia correspondientes al último año desmontan ese miedo: la inmensa mayoría de las notificaciones de brechas se archivan sin que se abra ningún procedimiento sancionador. Entender por qué ocurre esto —y qué distingue a las empresas que salen indemnes de las que acaban con una resolución en contra— es clave para diseñar un protocolo interno de respuesta a incidentes que proteja a la organización en lugar de exponerla.
El dato clave de la AEPD: solo un 2,5% de las notificaciones termina en inspección
Según ha explicado la propia Agencia en su blog institucional, el pasado ejercicio se recibieron más de 2.700 notificaciones de brechas de seguridad de datos personales, una cifra que confirma una tendencia al alza en los últimos años. De todas ellas, únicamente once fueron trasladadas a la Subdirección General de Inspección de Datos para valorar la apertura de un procedimiento inspector. Traducido a porcentaje, apenas un 2,5% de los incidentes notificados acaba siendo objeto de investigación formal.
Es importante matizar además que ese traslado a Inspección no equivale automáticamente a una sanción: solo indica que la Agencia considera necesario revisar con más detalle cómo se gestionó la brecha. La mayoría de expedientes, cuando la organización ha actuado con diligencia, se cierran sin consecuencias punitivas. Este dato contrasta radicalmente con la percepción extendida entre responsables de tratamiento y delegados de protección de datos, que tienden a sobrestimar el riesgo reputacional y económico de comunicar un incidente a la autoridad de control.
La propia AEPD ha señalado que, solo en el último año, las entidades que notificaron brechas comunicaron incidentes que afectaron a más de 200 millones de personas en total, un volumen considerablemente superior al del ejercicio anterior. Ese crecimiento no se traduce en un aumento proporcional de sanciones, lo que refuerza la idea de que el factor determinante no es la existencia de la brecha en sí, sino la forma en que la organización responde a ella.
Caso real: el archivo (sin sanción) del caso de la Guardia Civil por reacción rápida
Un ejemplo reciente ilustra perfectamente este principio. La AEPD archivó, en el expediente correspondiente, la investigación abierta tras un incidente de ciberseguridad sufrido por la Guardia Civil en una de sus aplicaciones corporativas, que llegó a comprometer datos personales de aproximadamente 50.000 miembros del cuerpo. Pese a la magnitud del incidente —tanto por el volumen de afectados como por la sensibilidad de tratarse de personal de un cuerpo de seguridad—, la Agencia decidió no sancionar.
El motivo del archivo fue la actuación diligente de la institución tras detectar el ataque: se realizó un análisis técnico inmediato del incidente, se informó internamente a la organización y a su Comité de Seguridad de la Información, se coordinaron las distintas unidades implicadas y se investigó con rapidez el alcance real del ciberataque. La AEPD valoró especialmente que el riesgo para los derechos de las personas afectadas hubiera desaparecido gracias a esa respuesta rápida y ordenada.
Este expediente resulta además relevante porque, según ha trascendido, es de los primeros en los que la Agencia aplica de forma expresa la doctrina fijada por el Tribunal de Justicia de la Unión Europea en el asunto C-768/21, que establece que una autoridad de control no está obligada a imponer siempre una sanción o una medida correctora cada vez que constata una infracción del RGPD, sino que dispone de margen de apreciación en función de las circunstancias del caso.
Qué valora la AEPD para archivar en lugar de sancionar
De la lectura combinada de la doctrina europea y de la práctica reciente de la Agencia se pueden extraer varios criterios que inclinan la balanza hacia el archivo del expediente en lugar de la apertura de un procedimiento sancionador:
- Que la infracción haya sido corregida. La organización debe demostrar que ha subsanado la vulnerabilidad o el fallo de seguridad que originó la brecha, no solo que ha contenido sus efectos inmediatos.
- Que existieran medidas de seguridad razonables con carácter previo. No se valora únicamente la reacción, sino si la entidad ya contaba con un nivel de protección adecuado antes de sufrir el incidente.
- Que se haya reaccionado con rapidez. El tiempo transcurrido entre la detección y la puesta en marcha de medidas de contención es uno de los factores más determinantes.
- Que la actuación global sea coherente con el RGPD. Esto incluye la propia notificación a la AEPD, la comunicación interna, y, cuando proceda, la información a las personas afectadas conforme a los artículos 33 y 34 del Reglamento.
Cuando estos elementos concurren, la Agencia entiende que ya se ha logrado el objetivo que persigue el régimen sancionador —evitar que se repita la infracción y proteger a los interesados— sin necesidad de imponer una multa adicional.
Notificar vs. no notificar: por qué el silencio es siempre la peor opción
Frente al temor a notificar, conviene tener presente que la obligación de comunicar una brecha a la AEPD «sin dilación indebida» —dentro del plazo máximo de 72 horas desde que se tiene constancia del incidente, salvo excepciones normativas— no es una opción discrecional cuando existe riesgo para los derechos y libertades de las personas afectadas. No notificar, o hacerlo fuera de plazo y solo cuando la Agencia ya ha tenido conocimiento del incidente por otra vía, es precisamente el escenario que con más frecuencia deriva en sanción.
Además, ocultar una brecha rara vez resulta viable a medio plazo: la tendencia normativa, tanto a nivel europeo como estatal, avanza hacia una mayor interconexión entre los organismos que gestionan incidentes de ciberseguridad y los que velan por la protección de datos, lo que hace cada vez más probable que un incidente no comunicado acabe aflorando por otras vías, con el agravante de la falta de transparencia sumado a la infracción original.
La notificación en tiempo y forma, lejos de ser un riesgo, constituye precisamente una demostración de la responsabilidad proactiva que exige el artículo 5.2 del RGPD, un elemento que la propia Agencia tiene en cuenta al valorar cualquier reclamación posterior relacionada con la brecha.
Cómo preparar tu protocolo interno de notificación de brechas
A la vista de estos criterios, toda organización que trate datos personales —independientemente de su tamaño— debería contar con un protocolo interno de gestión de brechas que incluya, como mínimo:
- Un procedimiento de detección y escalado inmediato, con responsables claramente identificados y disponibles fuera del horario laboral habitual.
- Una plantilla de registro del incidente que documente desde el primer momento la naturaleza de la brecha, los datos y personas afectadas, y las medidas de contención adoptadas.
- Criterios predefinidos para valorar el riesgo y determinar si procede notificar a la AEPD y, en su caso, comunicar también a las personas afectadas.
- Un canal de comunicación interna con dirección, seguridad de la información y asesoría legal para coordinar la respuesta sin retrasos innecesarios.
- Una revisión posterior (lecciones aprendidas) que permita corregir la vulnerabilidad de fondo y reforzar las medidas de seguridad, evidencia que resultará determinante si la AEPD solicita información adicional.
Contar con este protocolo diseñado y ensayado antes de que ocurra un incidente marca la diferencia entre una empresa que puede acreditar diligencia —y optar al archivo del expediente— y otra que improvisa su respuesta bajo presión, con el consiguiente riesgo de errores, retrasos y, finalmente, sanción. En Dataibérica ayudamos a las organizaciones a diseñar y documentar estos protocolos de notificación de brechas conforme al RGPD, para que notificar a la AEPD deje de ser un motivo de temor y se convierta en lo que realmente es: una obligación legal que, bien gestionada, protege tanto a las personas afectadas como a la propia empresa.
Fuentes: AEPD y Confilegal
