Han filtrado los datos de sus clientes: las 72 horas y después
Actualizada el 2026-09-01 · Revisado por Jaime Piñeira Pardo, colegiado ICAM nº 138826
La respuesta corta
El reloj de las 72 horas empieza cuando usted tiene constancia de la violación, no cuando ocurrió. Se notifica a la AEPD salvo que sea improbable que suponga un riesgo, y se comunica a los afectados cuando sea probable un alto riesgo. Todo lo que escriba en esas horas se leerá después en el expediente sancionador y en las reclamaciones civiles.
Un lunes por la mañana el proveedor de su plataforma le avisa de que una carpeta con los pedidos del último año ha estado accesible sin contraseña. Dentro hay nombres, direcciones, teléfonos y los cuatro últimos dígitos de las tarjetas de nueve mil clientes. Nadie sabe todavía si alguien descargó algo. Su equipo quiere esperar al informe del proveedor antes de decir nada, el comercial quiere avisar ya a los clientes y usted no sabe desde qué momento corren las setenta y dos horas.
El caso, en cinco líneas
- Qué se ejercita
- Gestión jurídica de la violación de seguridad: decisión documentada sobre notificar, notificación a la autoridad de control, comunicación a los interesados cuando procede y defensa posterior del expediente y de las reclamaciones.
- Ante quién
- La AEPD recibe la notificación y, en su caso, instruye y resuelve el expediente. Las reclamaciones de los afectados se ventilan ante la sección de lo Civil del Tribunal de Instancia.
- Plazo
- Setenta y dos horas desde que se tuvo constancia de la violación para notificar a la autoridad de control. A los interesados, sin dilación indebida cuando sea probable un alto riesgo para sus derechos y libertades.
- Quién puede
- La obligación recae sobre el responsable del tratamiento. El encargado debe notificar la violación al responsable sin dilación indebida en cuanto tenga conocimiento de ella.
- Riesgo económico
- El incumplimiento de las obligaciones de los artículos 25 a 39 se sitúa en la horquilla de hasta 10.000.000 de euros o el 2 por ciento del volumen de negocio anual global. A ello se suman las reclamaciones individuales de los afectados.
Las 72 horas no corren desde la brecha, sino desde su constancia
El artículo 33 del Reglamento exige notificar la violación a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar setenta y dos horas después de que se haya tenido constancia de ella. La fecha que importa no es la del fallo técnico ni la del acceso indebido: es aquella en que el responsable supo que había ocurrido.
Por eso lo primero que se hace no es redactar nada, sino fijar la hora cero con documento: el correo del proveedor, el aviso del sistema, el parte del empleado que lo detectó. Esa hora se defenderá después ante la Agencia y frente a cualquier afectado, y una hora cero improvisada meses más tarde no resiste el contraste con los registros internos.
El mismo artículo prevé que se llegue tarde sin que el mundo se acabe: si la notificación no tiene lugar en el plazo de setenta y dos horas, deberá ir acompañada de indicación de los motivos de la dilación. Es una salida ordenada, no una excusa automática, y funciona mucho mejor cuando los motivos son verificables y constan por escrito desde el primer día.
Se puede no notificar, pero hay que documentar por qué
La obligación de notificar decae a menos que sea improbable que la violación constituya un riesgo para los derechos y las libertades de las personas físicas. Es una excepción real y a veces es la decisión correcta, pero se apoya en un juicio que hay que sostener. Notificar por reflejo tampoco es gratis: coloca el asunto en la mesa de la autoridad con la calificación que usted mismo le haya dado.
El apartado 5 cierra la puerta a decidir en silencio. El responsable documentará cualquier violación de la seguridad, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas, y esa documentación debe permitir a la autoridad de control verificar el cumplimiento del artículo. La decisión de no notificar se guarda, con su razonamiento, o no existe.
Cuando sí se notifica, el contenido mínimo está tasado: la naturaleza de la violación, con las categorías y el número aproximado de interesados y de registros afectados cuando sea posible; el nombre y contacto del delegado de protección de datos u otro punto de contacto; las posibles consecuencias; y las medidas adoptadas o propuestas para poner remedio, incluidas las de mitigación.
A los clientes solo se les avisa si el riesgo es alto, y hay tres salidas
El artículo 34 fija un umbral distinto y más exigente que el de la notificación a la autoridad: hay que comunicar la violación al interesado, sin dilación indebida, cuando sea probable que entrañe un alto riesgo para los derechos y libertades de las personas físicas. No todo lo que se notifica a la Agencia se comunica a los clientes, y confundir los dos umbrales genera daño reputacional evitable o incumplimientos evitables.
La comunicación debe describir en un lenguaje claro y sencillo la naturaleza de la violación y contener como mínimo el punto de contacto, las posibles consecuencias y las medidas adoptadas o propuestas, incluidas las de mitigación. Ese lenguaje claro y sencillo no es un consejo de estilo: es el estándar con el que se juzgará después si usted informó de verdad o si redactó una nota para no informar.
Hay tres salidas tasadas. Que se hubieran aplicado a los datos afectados medidas técnicas y organizativas apropiadas que los hagan ininteligibles para quien no esté autorizado, como el cifrado. Que se hayan tomado medidas ulteriores que garanticen que ya no exista la probabilidad del alto riesgo. O que la comunicación individual suponga un esfuerzo desproporcionado, en cuyo caso se opta por una comunicación pública igualmente efectiva.
El artículo 32 se juzga hacia atrás: qué tenía usted antes
Una vez notificada la violación, la instrucción no mira solo cómo reaccionó, sino qué había el día anterior. El artículo 32 exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento.
El propio artículo enumera lo que ese nivel puede incluir: la seudonimización y el cifrado, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas, la capacidad de restaurar el acceso a los datos con rapidez tras un incidente físico o técnico, y un proceso de verificación, evaluación y valoración regulares de la eficacia de esas medidas.
Dos apartados suelen decidir el resultado. La adhesión a un código de conducta aprobado o a un mecanismo de certificación puede servir de elemento para demostrar el cumplimiento. Y el responsable y el encargado deben tomar medidas para que cualquier persona que actúe bajo su autoridad y tenga acceso a los datos solo los trate siguiendo sus instrucciones, salvo obligación legal.
Notificar bien está escrito como atenuante en el artículo 83
El artículo 83 obliga a tener debidamente en cuenta, al decidir la multa y su cuantía, la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado la notificó y en qué medida. También pesan las medidas tomadas para paliar los daños sufridos por los interesados y el grado de cooperación con la autoridad.
Esa es la razón práctica por la que la notificación se escribe con criterio jurídico y no como un parte técnico. El mismo hecho, contado como un incidente controlado con medidas ya aplicadas, o contado como un descubrimiento accidental sin plan, produce dos graduaciones distintas sobre exactamente los mismos datos filtrados.
Y detrás del expediente vienen los afectados. El artículo 82 reconoce a toda persona que haya sufrido daños materiales o inmateriales el derecho a ser indemnizada por el responsable o el encargado, con exención solo si se demuestra no ser en modo alguno responsable del hecho dañoso. Cuando varios intervienen en la misma operación, cada uno responde de todo el daño frente al afectado.
Cómo lo llevamos, paso a paso
- 1
Fijar la hora cero y congelar la evidencia
Se documenta con precisión cuándo y por quién se tuvo constancia, y se preservan registros, correos y copias del sistema antes de que nadie los toque. Desde esa hora, y no desde el fallo técnico, corren las setenta y dos horas.
- 2
Evaluar el riesgo por escrito
Se analizan categorías de datos, número aproximado de afectados, consecuencias posibles y si existía cifrado o seudonimización. De ese análisis sale la decisión de notificar o no, y el documento que la sostiene si alguien la discute después.
- 3
Notificar a la AEPD con el contenido mínimo
La notificación describe la naturaleza de la violación, las categorías y el número aproximado de interesados y registros, el punto de contacto, las consecuencias posibles y las medidas adoptadas. Si falta información, se facilita de manera gradual sin dilación indebida.
- 4
Decidir sobre la comunicación a los afectados
Si es probable un alto riesgo, se comunica sin dilación indebida en lenguaje claro y sencillo. Si concurre alguna de las tres excepciones del artículo 34, se documenta cuál y por qué, porque la autoridad puede exigir después la comunicación.
- 5
Cerrar el registro documental de la violación
Se deja constancia de los hechos, los efectos y las medidas correctivas adoptadas, de forma que la autoridad pueda verificar el cumplimiento. Ese expediente es el que se entrega si mañana llega un requerimiento de información.
- 6
Defender el expediente y las reclamaciones
Si se abre procedimiento, se alega sobre los criterios de graduación con la notificación propia como atenuante. En paralelo se organiza la respuesta a las reclamaciones individuales de indemnización de los afectados.
La prueba que decide el caso
- El registro interno con la hora exacta en que se tuvo constancia y quién la tuvo.
- Los registros de acceso y el informe técnico sobre alcance, categorías de datos y número de afectados.
- El análisis de riesgo escrito que fundamentó la decisión de notificar o de no notificar.
- La documentación de las medidas del artículo 32 vigentes antes del incidente, en especial el cifrado o la seudonimización.
- El contrato con el encargado y la fecha en que este notificó la violación al responsable.
- Las comunicaciones enviadas a los afectados, con su texto y la traza de envío y recepción.
Lo que cierra la puerta
- Contar las setenta y dos horas desde el incidente. El plazo corre desde que se tuvo constancia, y confundirlo lleva a notificar tarde sin motivo o a alarmarse sin necesidad.
- Esperar al informe completo del proveedor. La información puede facilitarse de manera gradual sin dilación indebida, y el silencio consume el plazo entero.
- Decidir no notificar sin dejarlo por escrito. El responsable debe documentar cualquier violación, sus efectos y las medidas adoptadas, y una decisión sin rastro se lee como una omisión.
- Comunicar a los clientes una nota que no explica nada. La ley exige lenguaje claro y sencillo, y un texto evasivo agrava en lugar de proteger.
- Redactar la notificación como un parte técnico. Es el documento que la autoridad usará para graduar, y ahí pesan la cooperación y las medidas paliativas.
La norma aplicable
- Art. 33 RGPD. Obliga al responsable a notificar la violación a la autoridad de control sin dilación indebida y, de ser posible, en 72 horas desde que tuvo constancia, salvo que sea improbable que suponga un riesgo para los derechos y libertades; si se notifica más tarde hay que indicar los motivos de la dilación. El encargado debe avisar al responsable sin dilación indebida. La notificación describe como mínimo la naturaleza de la violación con categorías y número aproximado de interesados y registros, el punto de contacto, las consecuencias posibles y las medidas adoptadas, y puede completarse de manera gradual. Toda violación debe documentarse para que la autoridad pueda verificar el cumplimiento. 32016R0679
- Art. 34 RGPD. Exige comunicar la violación al interesado sin dilación indebida cuando sea probable que entrañe un alto riesgo para sus derechos y libertades, describiendo en lenguaje claro y sencillo la naturaleza de la violación e incluyendo el punto de contacto, las consecuencias posibles y las medidas adoptadas. No es necesaria si se habían aplicado medidas que hagan los datos ininteligibles para quien no esté autorizado, como el cifrado, si se han tomado medidas ulteriores que eliminen la probabilidad del alto riesgo, o si supone un esfuerzo desproporcionado, en cuyo caso procede una comunicación pública igualmente efectiva. La autoridad puede exigir la comunicación si aún no se ha hecho. 32016R0679
- Art. 32 RGPD. Impone al responsable y al encargado aplicar medidas técnicas y organizativas apropiadas para un nivel de seguridad adecuado al riesgo, atendiendo al estado de la técnica, los costes y la naturaleza, alcance, contexto y fines del tratamiento, incluyendo en su caso seudonimización y cifrado, confidencialidad, integridad, disponibilidad y resiliencia permanentes, capacidad de restaurar el acceso con rapidez y verificación regular de la eficacia. Al evaluar el nivel adecuado se atiende a los riesgos de destrucción, pérdida, alteración o acceso no autorizados. La adhesión a códigos de conducta o certificaciones sirve como elemento para demostrar el cumplimiento. 32016R0679
- Art. 83 RGPD. Exige multas efectivas, proporcionadas y disuasorias y enumera las circunstancias a valorar, entre ellas las medidas tomadas para paliar los daños, el grado de responsabilidad según las medidas de los artículos 25 y 32, la cooperación con la autoridad y la forma en que esta tuvo conocimiento de la infracción, en particular si el propio responsable la notificó. Las infracciones de las obligaciones de los artículos 25 a 39 se sitúan en la horquilla de hasta 10.000.000 de euros o el 2 por ciento del volumen de negocio total anual global, optándose por la mayor. 32016R0679
- Art. 82 RGPD. Reconoce a toda persona que haya sufrido daños materiales o inmateriales por una infracción del Reglamento el derecho a ser indemnizada por el responsable o el encargado. El encargado solo responde cuando incumplió obligaciones dirigidas específicamente a él o actuó al margen o en contra de las instrucciones legales del responsable. La exención exige demostrar no ser en modo alguno responsable del hecho dañoso, y cuando varios intervienen en la misma operación cada uno responde de todo el daño frente al afectado, con derecho a repetir después contra los demás. 32016R0679
Artículos comprobados uno a uno contra el texto consolidado del BOE.
Preguntas frecuentes
¿Desde cuándo cuentan exactamente las 72 horas?
Desde que el responsable tiene constancia de la violación, no desde que esta se produjo ni desde que se conoce su alcance completo. Por eso conviene documentar con precisión el momento y la vía por la que se supo. Si aun así se notifica más tarde, la notificación debe ir acompañada de la indicación de los motivos de la dilación, que tendrán que ser verificables.
¿Tengo que avisar siempre a mis clientes?
No. El umbral es distinto: se comunica al interesado cuando sea probable que la violación entrañe un alto riesgo para los derechos y libertades. Y hay tres excepciones: que los datos fueran ininteligibles por medidas como el cifrado, que se hayan tomado medidas que eliminen la probabilidad de ese alto riesgo, o que la comunicación individual suponga un esfuerzo desproporcionado, sustituida entonces por una comunicación pública igualmente efectiva.
El fallo fue de mi proveedor. ¿Respondo yo?
La obligación de notificar a la autoridad recae sobre el responsable del tratamiento, y el encargado debe avisarle sin dilación indebida en cuanto conozca la violación. En cuanto a la indemnización, el encargado solo responde cuando incumplió obligaciones dirigidas específicamente a él o actuó al margen o en contra de las instrucciones legales del responsable. Frente al afectado, cada interviniente puede responder de todo el daño.
¿Notificar es reconocer la infracción?
No lo es, y de hecho el Reglamento la trata como un elemento favorable. Al fijar la multa se tiene debidamente en cuenta la forma en que la autoridad tuvo conocimiento de la infracción, en particular si el responsable la notificó y en qué medida, junto con las medidas adoptadas para paliar los daños y el grado de cooperación. Lo que agrava no es notificar: es que la autoridad se entere por otra vía.
¿Y si todavía no sé cuántos clientes están afectados?
La notificación pide las categorías y el número aproximado de interesados y de registros afectados cuando sea posible, y prevé expresamente que, si no se puede facilitar toda la información a la vez, se proporcione de manera gradual sin dilación indebida. Esperar a tener la cifra exacta no es una opción prudente: es el camino más frecuente hacia una notificación fuera de plazo.
Esta guía explica cómo funciona la acción en general. No sustituye al estudio de su caso: los plazos dependen de cuándo pasaron las cosas y de lo que usted haya hecho desde entonces.