Cómo actuar ante una brecha de seguridad, cumpliendo con el Reglamento General de Protección de Datos (RGPD)

tecnozero / Blog / Cómo actuar ante una brecha de seguridad

¿Qué es una brecha de seguridad?

El RGPD la define como una violación de la seguridad que provoca la destrucción, pérdida, alteración, divulgación no autorizada o el acceso a datos personales, ya sea de forma accidental o ilícita.

Estas son algunas situaciones cotidianas que suponen una brecha de seguridad ¿te sientes identificado/a con alguna de ellas?

• Robo de un portátil que contiene datos de clientes.
• Acceso no autorizado a un servidor o una base de datos.
• Pérdida de un pendrive cuya información no está cifrada.
• Envío de un email con datos a un destinatario incorrecto.

¿Qué exige el RGPD ante una brecha de seguridad?

El RGPD (artículos 33 y 34) obliga a:

• Notificar a la autoridad de control (AEPD en España) en un máximo de 72 horas, desde que se tiene conocimiento de la brecha.
• Notificar a los afectados cuando el incidente suponga un alto riesgo para sus derechos y libertades.
• Registrar internamente todas las brechas, incluso si no requieren notificación externa.

Paso a paso: Cómo reaccionar ante una brecha de seguridad

1. Detectar y evaluar.

Activa el protocolo interno de respuesta a incidentes. Este protocolo, debes tenerlo definido de forma previa y es indispensable.

Evalúa:

• ¿Qué ha pasado? por ejemplo el acceso no autorizado, pérdida de portátil…
• ¿Qué datos se han visto comprometidos?
• Si hay riesgo para los derechos y libertades de las personas.

2. Contener la brecha.

• Aísla los sistemas comprometidos.
• Blinda: cambia contraseñas, revoca accesos y bloquea conexiones sospechosas.
• Realiza una copia forense si es necesario (antes de apagar servidores o borrar evidencias).

Resumen: aisla lo que se haya comprometido, impide el acceso y guarda una copia de como está todo en ese momento, para investigaciones posteriores.

3. Documentar todo desde el minuto cero.

• Fecha y hora del descubrimiento.
• Quién lo detectó.
• Cómo ocurrió.
• Qué datos están afectados.
• Medidas adoptadas.

Esto será esencial tanto para notificar a la AEPD como para tu registro interno.

4. Notificar a la AEPD (si aplica).

Debes hacerlo en un máximo de 72 horas desde que tienes conocimiento del incidente.

¿Cómo se hace? A través de la sede electrónica de la Agencia Española de Protección de Datos.

Incluye:

• Descripción del incidente.
• Tipo de datos afectados.
• Número aproximado de afectados.
• Posibles consecuencias.
• Medidas adoptadas o propuestas.

Si no se notifica a tiempo, hay que justificar razones fundadas del retraso.

5. Notificar a los afectados (si aplica).

Solo si la brecha supone un alto riesgo para ellos.

Por ejemplo: datos bancarios, de salud, credenciales.

Debes informar de forma clara y sencilla:

• Qué ha pasado.
• Qué consecuencias puede tener.
• Qué medidas tomas y qué pueden hacer ellos (cambio de contraseña, bloquear tarjetas, etc.).

✳️ Si los datos están cifrados de forma robusta y no se puede acceder a ellos, no será necesario notificar a los afectados.

6. Aplicar medidas correctoras.

• Corrige la causa raíz del incidente.
• Refuerza la seguridad: cambia configuraciones, mejora el cifrado, forma al personal.
• Evalúa si debes actualizar el análisis de riesgos y el registro de actividades de tratamiento.

7. Registrar el incidente internamente

Aunque no sea notificado a la AEPD ni a los afectados, debe documentarse:

• Fecha del incidente.
• Tipo de brecha.
• Causas y consecuencias.
• Medidas aplicadas.
• Decisión sobre la notificación (y por qué se notificó o no).

Errores comunes que debes evitar

1. Ocultar el incidente
   Puede agravar las consecuencias. No notificar a tiempo o encubrir una brecha puede suponer sanciones elevadas.
2. Superar el plazo de 72 horas
   El plazo corre desde que se tiene conocimiento, no desde que se resuelve el incidente.
3. Notificar sin preparación
   Una notificación incompleta o desorganizada puede ser contraproducente. Prepara bien la información antes de comunicar.
4. No informar a los afectados cuando es obligatorio
   O hacerlo con un lenguaje técnico o confuso.
5. No registrar internamente los incidentes menores
   El RGPD obliga a documentarlos todos, aunque no se notifiquen.
6. No tener un plan de respuesta
   Sin procedimientos claros, perderás tiempo y cometerás errores que agravan el impacto.

Recomendaciones adicionales

• Ten un plan de respuesta a incidentes y revisa que funcione.
• Forma al personal para detectar y notificar incidentes rápidamente.
• Realiza simulacros periódicos.
• Aplica medidas de seguridad preventivas, como cifrado, segmentación de red, doble factor de autenticación.

Checklist descargable gratis

Aquí tienes un documento práctico en PDF, con el que puedes auditar fácilmente las medidas implementadas en tu empresa y marcar las pendientes. Puedes descargar la guía desde el siguiente enlace

En tecnozero somos expertos en seguridad informática, y ayudamos a empresas como la tuya a prevenir brechas de seguridad, implementar medidas efectivas de protección y responder de forma adecuada ante cualquier incidente.

Si estás valorando implementar nuevas medidas de seguridad, revisar tus sistemas actuales o cumplir con las exigencias del RGPD, no dudes en ponerte en contacto con nosotros.