En resumen
Las 72 horas empiezan cuando tienes un grado razonable de certeza de que se han comprometido datos personales, no cuando conoces la causa y el alcance.
Son horas naturales: los fines de semana y festivos cuentan, así que la decisión, la delegación y la firma digital deben prepararse antes.
Puedes notificar de manera gradual: una notificación preliminar con lo que sabes y luego una o varias notificaciones complementarias.
Toda brecha va al registro, aunque no la notifiques, con la justificación de las decisiones tomadas.
Para las entidades NIS2, la notificación a CSIRT Italia (24 horas, 72 horas, un mes) es una obligación aparte y no sustituye a la notificación a la autoridad de protección de datos.
El plazo de 72 horas empieza a contar desde que tienes conocimiento de la brecha, no desde que lo has entendido todo. Es el punto que más a menudo pone en crisis a las empresas ante una brecha de datos: esperan a tener el cuadro completo antes de moverse y, mientras tanto, el tiempo pasa. El RGPD no te pide saberlo todo de inmediato. Te pide decidir rápido, notificar lo que sabes y completar el resto más adelante.
En esta guía encontrarás qué hacer en la práctica: cuándo empieza realmente el plazo, quién decide, cómo valorar si notificar a la autoridad de control, qué hace falta enseguida y qué puede llegar después, cuándo avisar a las personas afectadas y cómo llevar el registro de brechas. También encontrarás un ejemplo de cronología hora a hora y una comparación con la notificación de incidentes prevista por NIS2, que es una obligación distinta y paralela. Los ejemplos se refieren a Italia, donde la autoridad de control es el Garante per la protezione dei dati personali (el Garante). Si antes necesitas repasar los principios y obligaciones generales, empieza por nuestra guía sobre qué es el RGPD.
¿Qué es una brecha de datos y cuándo surge la obligación de notificar?
Una brecha de datos es una violación de la seguridad que afecta a datos personales. El RGPD, en su artículo 4, la define como toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a ellos. No hace falta un hacker: un correo con un adjunto enviado al destinatario equivocado es una brecha de datos tanto como un ransomware.
La obligación de notificar está en el artículo 33. El responsable del tratamiento notifica la brecha a la autoridad de control, en Italia el Garante, sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que haya tenido constancia de ella. La única excepción es cuando sea improbable que la brecha constituya un riesgo para los derechos y libertades de las personas. Si la notificación llega después de 72 horas, debe ir acompañada de los motivos del retraso.
Confidencialidad, integridad, disponibilidad
Las Directrices 9/2022 del CEPD sobre la notificación de brechas clasifican las brechas de datos en tres tipos, que conviene usar desde la primera hora. Una brecha de confidencialidad es un acceso o una comunicación no autorizados: una base de datos exfiltrada, una carpeta compartida por error. Una brecha de integridad es una alteración no autorizada de los datos. Una brecha de disponibilidad es la pérdida de acceso a los datos o su destrucción, aunque sea temporal.
Un mismo incidente puede afectar a más de un tipo. Un ransomware que cifra los servidores es una brecha de disponibilidad; si el atacante también ha copiado los datos, es además de confidencialidad, con un riesgo mucho mayor para las personas.
Incidente de seguridad y brecha de datos no son sinónimos
Un ataque que tumba la web corporativa sin tocar datos personales es un incidente de seguridad, pero no activa el artículo 33. Al contrario, muchas brechas de datos no tienen nada de informático: un archivador de personal extraviado, una memoria USB sin cifrar olvidada en el tren. La pregunta que debes hacerte es siempre la misma: ¿hay datos personales afectados? Si es así, como mínimo debes documentar el evento, aunque concluyas que no hay que notificarlo.
¿Desde cuándo cuentan las 72 horas?
Las 72 horas empiezan cuando el responsable tiene constancia de la brecha. Para el CEPD, esto ocurre cuando el responsable tiene un grado razonable de certeza de que un incidente de seguridad ha comprometido datos personales. No hace falta conocer la causa, el número exacto de personas afectadas ni al culpable.
Dos ejemplos de las directrices. Si pierdes una memoria USB con datos sin cifrar, tienes constancia cuando te das cuenta de que la has perdido: quizá nunca sepas si alguien la ha leído, pero la pérdida es segura. Si un ciberdelincuente pide un rescate y compruebas el ataque, tienes constancia desde ese momento.
El breve periodo de investigación no es una escapatoria
Cuando recibes un aviso o una alerta, puedes realizar un breve periodo de investigación para saber si la brecha existe realmente. Durante esta comprobación inicial, según el CEPD, todavía no se considera que tengas constancia. Pero la investigación debe empezar lo antes posible y servir solo para establecer si ha habido una brecha; el análisis detallado viene después.
Aquí es donde muchas empresas se equivocan. Convertir la comprobación en un análisis forense de una semana no mueve el punto de partida: si la brecha existía y no actuaste con diligencia, para el CEPD no se ha cumplido la obligación de notificar. La alerta debe llegar enseguida a quien puede decidir.
Los fines de semana y festivos cuentan
Las 72 horas son horas naturales. El reglamento europeo sobre plazos (Reglamento 1182/71, al que remite el CEPD) establece que los plazos incluyen sábados, domingos y festivos, salvo exclusión expresa. Una brecha descubierta el viernes por la tarde vence el lunes por la tarde, no el miércoles.
Si quien puede firmar la notificación no está localizable el fin de semana, el problema debe resolverse antes, con una delegación escrita en el procedimiento.
¿Quién decide y quién hace qué en las primeras horas?
La responsabilidad de la notificación es siempre del responsable del tratamiento, es decir, la empresa que determina los fines y medios del tratamiento. Puede delegar la ejecución, pero no la responsabilidad. Por eso lo primero que hay que saber, antes de cualquier incidente, es quién dentro de la empresa toma la decisión de notificar o no.
Responsable, encargado del tratamiento y DPD
Si la brecha se produce en un proveedor que trata datos por tu cuenta (el ERP en la nube, la gestoría de nóminas), ese proveedor es un encargado del tratamiento. El artículo 33, apartado 2, le obliga a informarte sin dilación indebida, sin valorar el riesgo en tu lugar. Según el CEPD, por regla general tienes constancia cuando el proveedor te informa.
El contrato con el proveedor, previsto en el artículo 28, es el lugar adecuado para fijar plazos de aviso, contenidos mínimos e interlocutores. El proveedor también puede notificar en tu nombre si el contrato lo prevé, pero la responsabilidad legal sigue siendo tuya. Si tienes un DPD, el CEPD recomienda implicarlo de inmediato y durante todo el proceso: sus datos de contacto, o los de otro punto de contacto, son uno de los elementos obligatorios de la notificación.
El equipo de respuesta: roles mínimos
Una pyme no necesita un comité de crisis, sino nombres. Hacen falta al menos cuatro funciones, aunque recaigan en la misma persona:
quién decide: el responsable o un delegado con poder para notificar y firmar;
quién investiga: el departamento de TI o el proveedor técnico, para contener el incidente y recopilar evidencias;
quién valora el riesgo para las personas: el DPD o el referente de privacidad, con apoyo jurídico si hace falta;
quién comunica: con el Garante, con los interesados y, si es necesario, con clientes y socios.
Un detalle que a menudo se pasa por alto: en el formulario del Garante, la notificación la presenta el representante legal o un delegado suyo, que firma digitalmente siguiendo las instrucciones recibidas por correo electrónico. La delegación y la firma deben prepararse antes.
¿Notificar o no? Cómo valoras el riesgo
No todas las brechas deben notificarse a la autoridad. La obligación existe salvo que sea improbable un riesgo para los derechos y libertades de las personas. La comunicación a los interesados, en cambio, solo es obligatoria cuando hay un riesgo alto. Hay por tanto dos umbrales, y la valoración se hace caso por caso.
Tres resultados posibles
El CEPD sugiere razonar en tres niveles: ningún riesgo probable, riesgo, riesgo alto. En el primer caso documentas la brecha en el registro interno y justificas la decisión de no notificar. En el segundo notificas a la autoridad. En el tercero notificas a la autoridad y comunicas la brecha a las personas afectadas.
Los elementos que hay que tener en cuenta son concretos: tipo de datos (de salud, financieros, credenciales), número de personas, facilidad para identificarlas, gravedad de las consecuencias (suplantación de identidad, fraude, discriminación), personas vulnerables, medidas ya aplicadas como el cifrado de los datos. Si el resultado es incierto, lo prudente es notificar: el CEPD recuerda que no hay sanción por notificar un incidente que luego resulta no ser una brecha.
Dos casos de las Directrices 01/2021 del CEPD
Las Directrices 01/2021 del CEPD recogen casos prácticos con el resultado de la valoración. En el primer caso de ransomware, el atacante cifra los datos, los registros demuestran que no hubo exfiltración y los datos se restauran rápidamente desde una copia de seguridad íntegra: el resultado indicado es solo la documentación interna, sin notificación ni comunicación a los interesados.
En otro, el servidor de una empresa de transporte se cifra sin copia de seguridad y los datos se exfiltran: documentación interna, notificación a la autoridad y comunicación a los interesados, incluso pública para quienes no se puede contactar. La diferencia no está en el ataque, sino en dos medidas preparadas antes: copias de seguridad verificadas y registros capaces de demostrar qué ha salido.
Qué notificar enseguida y qué completar después
La regla que desbloquea las primeras 72 horas es el artículo 33, apartado 4: si no puedes facilitar toda la información a la vez, puedes facilitarla de manera gradual, sin más dilación indebida. El CEPD lo confirma: un cuadro incompleto no es motivo para aplazar la notificación, y las cifras pueden ser aproximadas.
El contenido mínimo de la notificación
El artículo 33, apartado 3, indica qué debe contener la notificación. Describe la naturaleza de la brecha, con las categorías y el número aproximado de interesados y de registros afectados. Indica el nombre y los datos de contacto del DPD o de otro punto de contacto. Describe las posibles consecuencias. Describe las medidas adoptadas o propuestas para poner remedio y mitigar los efectos.
En 72 horas normalmente tienes: qué ha pasado, cuándo lo descubriste, sistemas y tipos de datos afectados, una estimación del número de personas, las primeras medidas de contención. A menudo llegan después la causa técnica, la confirmación de la exfiltración, el número exacto de registros y las medidas correctoras definitivas.
Notificación preliminar y notificación complementaria al Garante
El formulario del Garante refleja esta lógica: en la primera notificación eliges entre completa y preliminar. La notificación preliminar sirve precisamente cuando inicias el proceso sin un cuadro completo, comprometiéndote a completarlo. Con la notificación complementaria añades la información que falta usando el número de expediente y el PIN recibidos por correo al final de la primera notificación.
Guarda ese correo e indica desde la primera notificación que seguirá más información, como recomienda el CEPD.
Cómo se envía: el procedimiento telemático
Desde el 1 de julio de 2021, la notificación al Garante se envía exclusivamente mediante el procedimiento telemático disponible en el portal de servicios en línea de la Autoridad, accesible desde su página dedicada a las brechas de datos. En el mismo portal hay una herramienta de autoevaluación que ayuda a entender qué medidas tomar tras una brecha.
El modelo de formulario publicado por el Garante no sirve para el envío, pero es útil antes: revísalo con tu equipo y prepara las respuestas estables, como los datos del responsable, los contactos del DPD y la descripción de los sistemas.
Ejemplo: una cronología hora a hora
Tomemos una empresa tipo: una pyme de servicios con 60 empleados y un portal de clientes. El viernes a las 17:30 el proveedor que gestiona los servidores detecta tráfico anómalo de salida desde la base de datos del portal. La tabla muestra una secuencia realista; los tiempos internos son un ejemplo, y el único plazo fijado por la ley es el de las 72 horas.
Momento | Qué ocurre | Quién actúa |
|---|---|---|
Vie 17:30 | Alerta del proveedor: tráfico anómalo desde la base de datos de clientes. Empieza la comprobación inicial. | Proveedor de TI, responsable de TI |
Vie 19:00 | Los registros confirman accesos no autorizados a nombres, correos y direcciones de clientes. Hora cero: datos personales comprometidos con certeza razonable. | Responsable de TI, responsable del tratamiento |
Vie 20:00 | Contención: credenciales revocadas, acceso cerrado, registros preservados. Informado el DPD; abierta la entrada en el registro. | TI, DPD |
Sáb 10:00 | Valoración del riesgo: unos 8.000 clientes, sin datos de pago, posible phishing dirigido. Notificación necesaria. | DPD, responsable del tratamiento |
Sáb 16:00 | Notificación preliminar al Garante con los datos conocidos, indicando que habrá información complementaria. | Delegado del representante legal, DPD |
Lun 12:00 | El análisis confirma la exfiltración: riesgo alto de phishing, se prepara la comunicación a los clientes. | DPD, TI, comunicación |
Lun 17:00 | Comunicación directa a los clientes afectados, con indicaciones prácticas para reconocer correos falsos. | Comunicación, DPD |
Lun 19:00 | Vencen las 72 horas desde la hora cero: la notificación ya se ha enviado. | — |
Semanas siguientes | Notificación complementaria con causa, número exacto de registros y medidas correctoras; registro actualizado. | DPD, responsable del tratamiento, TI |
Dos cosas que conviene notar. La primera: la hora cero no es la alerta de las 17:30, sino el momento en que la comprobación inicial da un grado razonable de certeza. La segunda: la notificación sale el sábado con información incompleta, y está bien así. Si el proveedor hubiera avisado solo el martes, la hora cero para el responsable habría sido la de su aviso: por eso los plazos de aviso del encargado deben figurar en el contrato.
¿Cuándo debes avisar también a las personas afectadas?
El artículo 34 obliga a comunicar la brecha a los interesados cuando sea probable que entrañe un alto riesgo para sus derechos y libertades. La comunicación debe hacerse sin dilación indebida y, en algunos casos evidentes, como un riesgo inmediato de suplantación de identidad, el CEPD admite que se haga incluso antes de notificar a la autoridad.
La comunicación usa un lenguaje claro y sencillo y contiene al menos la naturaleza de la brecha, el contacto del DPD o de otro referente, las posibles consecuencias y las medidas adoptadas. Añade consejos prácticos: cambiar la contraseña, desconfiar de correos que piden datos de pago.
Cuándo no hace falta la comunicación
El artículo 34, apartado 3, prevé tres casos en los que no se exige la comunicación a los interesados. Primero: los datos estaban protegidos con medidas que los hacen ininteligibles para quien no esté autorizado, como un cifrado adecuado con clave no comprometida. Segundo: tras la brecha has adoptado medidas que garantizan que ya no se materialice el alto riesgo. Tercero: la comunicación individual supondría un esfuerzo desproporcionado; en ese caso, sin embargo, hace falta una comunicación pública igual de eficaz.
Cómo comunicar bien
El CEPD recomienda mensajes específicos, no incluidos en un boletín; un comunicado de prensa o una entrada en el blog, por sí solos, no bastan. Si se ha comprometido el buzón de correo corporativo, usarlo para avisar a los clientes favorece a quien quiera suplantarte: elige un canal no comprometido.
El registro de brechas: también cuando no notificas
El artículo 33, apartado 5, obliga a documentar cualquier brecha de datos, incluidos los hechos, sus efectos y las medidas correctivas adoptadas. Vale también para las brechas que no notificas: es precisamente esta documentación la que permite a la autoridad comprobar que tu valoración fue correcta.
El CEPD aconseja registrar también el razonamiento: por qué consideraste improbable el riesgo, por qué notificaste con retraso, por qué decidiste no comunicarlo a los interesados. El registro puede ser un documento propio o formar parte del registro de actividades de tratamiento, siempre que la información sobre las brechas sea claramente identificable y pueda extraerse cuando se solicite.
Una buena entrada del registro indica: hora del descubrimiento y hora cero, descripción y tipo de brecha, datos y personas afectados, valoración del riesgo motivada, decisiones sobre notificación y comunicación con fechas, medidas adoptadas. Rellenada durante el incidente, se convierte en tu rastro de decisiones si la autoridad hace preguntas.
Brecha de datos y NIS2: dos notificaciones distintas que no hay que confundir
Si tu empresa es una entidad esencial o importante según el Decreto Legislativo italiano 138/2024, que transpone la Directiva NIS2, tienes una segunda obligación de notificación, distinta de la del RGPD. El artículo 25 del decreto obliga a notificar a CSIRT Italia, creado en la Agencia para la Ciberseguridad Nacional (ACN), los incidentes significativos, es decir, los que tienen un impacto relevante en la prestación de tus servicios.
RGPD (arts. 33 y 34) | NIS2 (D. Lgs. 138/2024, art. 25) | |
|---|---|---|
Quién está obligado | Todo responsable del tratamiento | Entidades esenciales e importantes |
Qué se notifica | Brecha de datos personales con riesgo para las personas | Incidente significativo para los servicios |
A quién | Garante per la protezione dei dati personali | CSIRT Italia (ACN) |
Plazos | Sin dilación indebida, de ser posible en 72 horas; información gradual | Alerta temprana en 24 horas; notificación en 72 horas; informe final en un mes desde la notificación |
Personas afectadas | Comunicación a los interesados si el riesgo es alto | Comunicación a los destinatarios de los servicios si procede, consultado CSIRT Italia |
El mismo incidente, dos relojes
Un ransomware en una empresa sujeta a NIS2 puede ser a la vez un incidente significativo y una brecha de datos. En ese caso haces dos notificaciones separadas, a dos autoridades distintas. El CEPD lo dice con claridad: la notificación según la normativa NIS no sustituye a la notificación a la autoridad de protección de datos.
Los dos relojes empiezan con el conocimiento, pero de dos cosas diferentes: el incidente significativo para NIS2, el compromiso de datos personales para el RGPD. Pueden coincidir o no. El primer plazo que vence es la alerta temprana de 24 horas a CSIRT Italia, que marca por tanto el ritmo de las primeras horas. Si quieres profundizar en cómo organizar la gestión de incidentes para NIS2 dentro de un sistema de gestión, lee nuestra guía sobre ISO 27001 y NIS2.
¿Cuáles son los errores más comunes?
El primer error es esperar a tener el cuadro completo: las 72 horas sirven para notificar lo que sabes, no para terminar la investigación, y la notificación gradual existe para eso. El segundo es no saber quién decide: sin un mandato claro, una delegación y una firma digital preparadas, la alerta rebota entre TI, administración y dirección.
El tercero es olvidarse de los proveedores. Si el contrato con un encargado del tratamiento no dice en cuánto tiempo y con qué información debe avisarte, descubrirás la brecha tarde. Revisar los contratos de los proveedores más críticos es tiempo bien invertido. El cuarto es no registrar las brechas menores, como el correo al destinatario equivocado resuelto con una llamada. El quinto es confundir RGPD y NIS2, haciendo una sola notificación u olvidando la alerta temprana de 24 horas.
Por último, probar el procedimiento solo durante un incidente real. Un ejercicio sobre un escenario como el de la cronología saca a la luz en una hora los problemas que, de otro modo, descubrirías un viernes por la tarde, y puedes integrarlo en tu plan de continuidad de negocio.
Cómo te ayuda Complaion a prepararte para una brecha de datos
Las primeras 72 horas se juegan casi por completo antes del incidente: procedimiento, roles, delegaciones, contratos con proveedores, registro, criterios de valoración del riesgo. En el itinerario RGPD con Complaion te acompaña un Lead Auditor dedicado, que analiza cómo tratas hoy los datos y te ayuda a definir el procedimiento de gestión de brechas: quién decide, en qué plazo deben avisarte los proveedores, cómo se valora el riesgo, qué anotar en el registro. Te propone el itinerario más adecuado a las necesidades de tu empresa, también cuando RGPD y NIS2 deben gestionarse a la vez.
La plataforma recopila las evidencias, gestiona los documentos, desde el procedimiento hasta el registro de brechas, lleva el calendario de revisiones y ejercicios y prepara las auditorías. Si necesitas un DPD, con el servicio de DPD externalizado Complaion asume el rol y te acompaña en la relación con la autoridad y en las notificaciones de brechas, sin perjuicio de la responsabilidad del responsable del tratamiento. Más de 1.000 clientes ya trabajan con nosotros. Si quieres saber si tu procedimiento aguantaría un viernes por la tarde como el del ejemplo, contáctanos.
Preguntas frecuentes sobre brechas de datos
¿En qué plazo hay que notificar una brecha de datos al Garante?
Sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que el responsable tuvo constancia de ella. Las 72 horas son naturales e incluyen fines de semana y festivos. Si notificas después de este plazo, debes indicar los motivos del retraso. La información que no esté disponible enseguida puede facilitarse de manera gradual.
¿Desde cuándo se cuentan las 72 horas?
Desde el momento en que tienes un grado razonable de certeza de que un incidente de seguridad ha comprometido datos personales, según las directrices del CEPD. No hace falta conocer la causa ni el alcance. Se admite un breve periodo de comprobación inicial, pero debe empezar enseguida. Si la brecha se produce en un proveedor, por regla general tienes constancia cuando él te avisa.
¿Hay que notificar todas las brechas de datos?
No. La notificación a la autoridad no es obligatoria si es improbable que la brecha constituya un riesgo para los derechos y libertades de las personas. Sin embargo, toda brecha debe documentarse en el registro interno con la justificación de la decisión. En caso de duda, notificar es la opción más prudente.
¿Qué pasa si no tengo toda la información en 72 horas?
Envías una notificación preliminar con lo que sabes y la completas con una o varias notificaciones complementarias, como prevé el artículo 33, apartado 4. El número de personas y de registros puede indicarse de forma aproximada. Conviene declarar desde el principio que habrá actualizaciones.
¿Cuándo debo avisar a clientes, empleados o usuarios?
Cuando la brecha pueda entrañar un alto riesgo para sus derechos y libertades, por ejemplo por suplantación de identidad, fraude o difusión de datos de salud. La comunicación debe hacerse sin dilación indebida, con un lenguaje sencillo y consejos prácticos. No es necesaria si los datos estaban adecuadamente cifrados o si ya has eliminado el alto riesgo.
¿El proveedor que sufre la brecha debe notificarla a la autoridad?
Por regla general, no: el encargado del tratamiento debe informar al responsable sin dilación indebida, y es el responsable quien valora y notifica. El proveedor solo puede notificar en nombre del responsable si el contrato lo prevé, y la responsabilidad sigue siendo del responsable. Por eso los plazos y contenidos del aviso deben fijarse en el contrato.
Si soy una entidad NIS2, ¿la notificación a CSIRT Italia vale también para el RGPD?
No. Son dos obligaciones distintas, con autoridades, criterios y plazos diferentes. Ante un incidente significativo envías a CSIRT Italia una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. Si hay datos personales afectados, notificas también al Garante por separado según el artículo 33 del RGPD.
