Urgente · Brechas de seguridad
Brecha de datos: qué hacer en las primeras 72 horas
Ciberataque, ransomware, un correo enviado a quien no debía o un portátil perdido. El RGPD le da 72 horas para valorar y, en su caso, notificar. Le ayudamos desde la primera hora.
Las 72 horas
Qué hay que hacer y cuándo
1. Contener
Aislar sistemas, cambiar credenciales y conservar evidencias. No borre registros.
2. Valorar el riesgo
Qué datos, cuántas personas y qué consecuencias puede tener para ellas.
3. Notificar a la AEPD
En 72 horas, salvo que sea improbable que exista riesgo (art. 33 RGPD).
4. Comunicar a los afectados
Si el riesgo es alto (art. 34 RGPD), con información clara y recomendaciones.
Cómo trabajamos
Cómo le ayudamos
- 01Nos llama o escribe por WhatsApp en cuanto detecta el incidente.
- 02Valoramos con usted el riesgo y si procede notificar.
- 03Redactamos y presentamos la notificación a la AEPD.
- 04Preparamos la comunicación a los afectados si es necesaria.
- 05Documentamos la brecha y le defendemos si la AEPD abre expediente.
Brechas de seguridad
Notificar bien también protege a su empresa
Una notificación a tiempo y bien fundamentada demuestra diligencia y es una de las circunstancias que la AEPD valora al decidir si sanciona y en qué cuantía.
Coordinamos la parte jurídica con su equipo técnico o su proveedor de ciberseguridad.
¿Tengo que notificar siempre la brecha a la AEPD?
No siempre. Debe notificarse salvo que sea improbable que suponga un riesgo para los derechos de las personas (art. 33 RGPD). Pero todas las brechas deben documentarse internamente.
¿Cuál es el plazo?
72 horas desde que se tiene constancia de la brecha. Si no se puede aportar toda la información, puede notificarse por fases, justificando el retraso.
¿Debo avisar a los clientes afectados?
Sí, cuando la brecha suponga un alto riesgo para sus derechos y libertades (art. 34 RGPD), en un lenguaje claro y sin dilación indebida.
¿Qué pasa si no notifico?
No notificar una brecha que debía comunicarse es una infracción del RGPD y suele agravar la sanción si la AEPD tiene conocimiento por otra vía.