Brecha de Datos y GDPR: Qué es, Obligación de Notificación y Sanciones
Lectura 10 min · AstraLoop Studio
Si gestionas una empresa, el término "brecha de datos" te llega casi siempre en el peor momento, es decir, cuando ya ha pasado. Un empleado que hace clic en el correo equivocado, un programa de gestión con un agujero de seguridad, una copia de seguridad acabada en un servidor expuesto. Desde ese instante empieza a correr un cronómetro muy concreto, el de las 72 horas que el GDPR te concede para notificar la violación a la autoridad de protección de datos. Quien no lo sabe, o se entera tarde, se expone a sanciones que arrancan en unos miles de euros y llegan a cifras capaces de cerrar un negocio.
Veamos qué cuenta realmente como brecha de datos según el Reglamento UE 2016/679 (GDPR), cuándo se activa la obligación de notificación, cuánto valen las sanciones con las cifras actualizadas del regulador italiano y, sobre todo, por qué prevenir cuesta una fracción de lo que cuesta gestionar el incidente cuando ya ha ocurrido.
Qué es una brecha de datos según el GDPR
La definición formal está en el artículo 4 del GDPR. Una brecha de datos ("violación de la seguridad de los datos personales") es "toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos".
Traducido a la práctica, no hace falta un ataque de hacker de película. Una brecha de datos es cualquier evento que compromete una de estas tres propiedades de los datos personales:
- Confidencialidad: alguien accede a los datos sin autorización (robo de credenciales, base de datos expuesta, correo enviado al destinatario equivocado).
- Integridad: los datos se alteran de forma no deseada (un ransomware que los cifra, una modificación ilícita).
- Disponibilidad: los datos quedan inaccesibles o se pierden (un servidor destruido, una copia de seguridad borrada, una carpeta cifrada por un ataque).
Esto significa que entran en la definición también eventos que el empresario medio no asocia con una "violación": un portátil robado con el listado de clientes dentro, una memoria USB extraviada, un empleado que por error envía una factura con datos fiscales al cliente equivocado, un incendio que destruye el archivo en papel sin copia de seguridad. Todos son brechas de datos a todos los efectos.
Una brecha de datos no implica necesariamente un ciberataque
Es el malentendido más extendido. La mayoría de las violaciones notificadas tienen origen técnico (malware, ransomware, phishing), pero una parte considerable nace de errores humanos o de fallos organizativos. Por eso hablar solo de "defenderse de los hackers" es reduccionista: la protección de los datos pasa por procedimientos, permisos, formación y control de proveedores, no solo por el antivirus.
Las cifras del regulador: cuán extendido está el fenómeno en Italia
Los datos difundidos por el Garante per la Protezione dei Dati Personali (la autoridad italiana de protección de datos) reflejan un crecimiento constante. Las notificaciones de brechas de datos recibidas alcanzaron 2.204 en un año, con un aumento de cerca del 22% respecto al periodo anterior. En paralelo se ha intensificado la actividad sancionadora: hablamos de unos 24 millones de euros en sanciones impuestas.
Estas cifras hay que leerlas junto al panorama más amplio del panorama cyber para las pymes italianas. El Informe Clusit 2026 sitúa a Italia en torno al 10% de los incidentes mundiales, con un +23% de ataques graves en el primer trimestre y las pequeñas y medianas empresas como objetivo en el 72% de los casos. La brecha de datos ya no es un problema de las grandes corporaciones: es la normalidad operativa para la empresa de 10, 30, 50 empleados.
Un dato que merece atención: cerca del 30% de las violaciones involucra a un tercero, es decir, un proveedor, un consultor externo, un programa de gestión, un servicio en la nube. El perímetro que hay que proteger no termina en las fronteras de tu empresa.
La obligación de notificación: la regla de las 72 horas
Aquí está el núcleo de las obligaciones del GDPR, y el punto en el que muchas empresas se equivocan. El artículo 33 del Reglamento establece que, en caso de violación de datos personales, el responsable del tratamiento (es decir, la empresa) debe notificar la violación a la autoridad de control en un plazo de 72 horas desde que tuvo conocimiento de ella.
Las 72 horas no empiezan a contar desde el ataque, sino desde el momento en que se tiene conocimiento de la violación. Lo que hace crucial contar con sistemas que permitan detectarla rápido: una brecha descubierta tres meses después no anula la obligación, sino que empeora la posición porque demuestra un monitoreo inadecuado.
Cuándo la notificación NO es obligatoria
No todas las violaciones hay que notificarlas. El artículo 33 prevé una excepción: la notificación a la autoridad no es necesaria si "es improbable que dicha violación constituya un riesgo para los derechos y las libertades de las personas físicas". Ejemplo clásico: un archivo cifrado con una clave robusta es robado, pero los datos permanecen ilegibles. En ese caso el riesgo es bajo.
Ahora bien, la valoración debe quedar documentada. Aunque decidas no notificar, tienes que dejar constancia del razonamiento en el registro de violaciones, obligatorio conforme al artículo 33.5. La autoridad puede solicitarlo en cualquier momento.
Cuándo debes avisar también a los afectados
Hay un segundo nivel. El artículo 34 establece que, si la violación supone un riesgo elevado para los derechos de las personas (piensa en datos de salud, datos bancarios, credenciales de acceso), debes comunicarla también directamente a los interesados, es decir, a los clientes, pacientes o empleados afectados. Sin dilación indebida y con un lenguaje claro.
Este paso tiene un coste reputacional enorme: comunicar a miles de clientes que sus datos han quedado expuestos es un golpe a la confianza difícil de recuperar. Lo tratamos en detalle cuando entramos en el detalle de qué hacer en concreto en las 72 horas posteriores a una brecha de datos.
Las sanciones: cuánto se arriesga realmente
El GDPR prevé dos tramos sancionadores, definidos en el artículo 83. Una brecha de datos mal gestionada puede recaer en ambos.
| Tramo | Importe máximo | Violaciones típicas |
|---|---|---|
| Primer tramo | Hasta 10 millones de euros o el 2% de la facturación anual mundial | Falta de registro, medidas de seguridad inadecuadas (art. 32), falta de notificación (art. 33 y 34) |
| Segundo tramo | Hasta 20 millones de euros o el 4% de la facturación anual mundial | Violación de los principios del tratamiento, de los derechos de los interesados, transferencias ilícitas |
Siempre se aplica el valor más alto entre la cifra fija y el porcentaje sobre la facturación. Para una pyme el techo teórico de los 20 millones es inalcanzable, pero el 4% de la facturación no lo es en absoluto: en una empresa que factura 3 millones hablamos potencialmente de 120.000 euros. Y la autoridad, al calibrar la sanción, valora si adoptaste medidas adecuadas antes del incidente.
Aquí está el punto que pocos explican al empresario: la sanción no castiga solo la brecha en sí, sino la negligencia que la hizo posible. Una empresa que demuestra haber realizado una auditoría, adoptado medidas técnicas y organizativas, formado al personal y reaccionado a tiempo recibe un trato muy distinto al de quien no tenía ningún control. La prevención documentada es la primera línea de defensa también en sede sancionadora.
El coste real no es solo la multa
La sanción de la autoridad es la partida más visible, pero no la más pesada. A una brecha de datos se suman la paralización operativa, la restauración de los sistemas, las consultorías legales y forenses, la pérdida de clientes y, cada vez más, la extorsión. El ransomware en Italia está evolucionando hacia la doble y triple extorsión, con un coste medio para las pymes de entre 35.000 y 250.000 euros. Hemos desglosado todas estas partidas en el análisis sobre el coste real de una brecha de datos y el ROI de la prevención.
La diferencia entre una sanción cuantiosa y una gestión ordenada se decide antes del incidente. Solicita un análisis de tu exposición a brechas de datos y veamos juntos dónde estás desprotegido.
El GDPR no es la única obligación: llega la NIS2
Desde 2026 el marco normativo se amplía. La directiva NIS2 introduce obligaciones de ciberseguridad y de notificación de incidentes para un número mucho mayor de empresas que en el pasado, con plazos operativos durante 2026 y una novedad de peso: la responsabilidad directa del CEO y de los órganos de administración, que ya no se puede delegar en el departamento de IT.
La notificación NIS2 de un incidente convive con la del GDPR: son dos vías distintas (una mira a la seguridad de los servicios, la otra a la protección de los datos personales) que a menudo se activan juntas. Si quieres saber si te afectan estas obligaciones, empieza por comprobar si la NIS2 se aplica a tu empresa y por los plazos concretos de 2026. El riesgo es acabar gestionando una violación con dos relojes corriendo en paralelo y ningún procedimiento listo.
Cómo se previene una brecha de datos
La notificación es la reacción. La prevención es lo que decide si la brecha ocurre, cuán grave es y en qué posición te encuentras ante la autoridad. Las medidas que marcan la diferencia son concretas y en gran parte accesibles para cualquier pyme:
- Mapear los datos personales: saber qué datos tratas, dónde se conservan y quién accede a ellos. No puedes proteger lo que no sabes que tienes.
- Control de accesos: permisos mínimos necesarios, autenticación de dos factores, revocación inmediata de los accesos de quien deja la empresa.
- Copias de seguridad probadas: una copia de seguridad que nunca has intentado restaurar no es una copia de seguridad. Es lo que más protege frente al ransomware.
- Formación del personal: gran parte de las brechas nacen de un clic. La formación anti-phishing reduce el riesgo más que muchas herramientas costosas.
- Control de los proveedores: quien trata tus datos (programas de gestión, nube, consultores) debe garantizar medidas adecuadas. El 30% de las violaciones pasa por terceros.
- Gobierno del uso de la IA: cada vez más empleados pegan datos de la empresa en ChatGPT u otras herramientas. Este fenómeno, la llamada Shadow AI, es una fuente creciente de fugas de datos y de potencial violación del GDPR.
La auditoría de seguridad: la fotografía que necesitas
Todas estas medidas necesitan un punto de partida, es decir, saber dónde eres vulnerable. Eso es lo que hace una auditoría de seguridad informática completa: identifica las vulnerabilidades técnicas y organizativas antes de que lo haga un atacante y genera esa documentación que, ante la autoridad, demuestra diligencia.
Una auditoría seria no es un escaneo automático de pocos euros que escupe un PDF de alarmas genéricas. Es un análisis que parte de tus procesos reales, de los datos que tratas y de cómo los tratas. Si quieres entrar en el detalle técnico, la distinción entre análisis de vulnerabilidades y test de penetración es la primera bifurcación que hay que entender para elegir el nivel de verificación adecuado a tu situación.
En resumen
Una brecha de datos es cualquier evento que compromete la confidencialidad, la integridad o la disponibilidad de los datos personales, no solo un ciberataque. El GDPR te obliga a notificarla a la autoridad en un plazo de 72 horas desde su descubrimiento y, en los casos de riesgo elevado, también a los interesados. Las sanciones llegan hasta 20 millones de euros o el 4% de la facturación, pero se calibran según lo preparado que estabas de antemano. La palanca más eficaz no es reaccionar mejor, es prevenir, documentar y no llegar desprevenido al momento en que el cronómetro de las 72 horas empieza a correr.
Preguntas frecuentes
¿Qué es exactamente una brecha de datos según el GDPR?
Es una violación de seguridad que ocasiona destrucción, pérdida, alteración, comunicación no autorizada o acceso a datos personales. Incluye los ciberataques pero también errores humanos, portátiles robados, correos enviados al destinatario equivocado o copias de seguridad perdidas.
¿En qué plazo hay que notificar una brecha de datos a la autoridad?
En un plazo de 72 horas desde que la empresa tiene conocimiento de la violación, conforme al artículo 33 del GDPR. El plazo empieza a contar desde el descubrimiento, no desde el ataque. Si el riesgo para los interesados es improbable, la notificación puede no ser necesaria, pero hay que documentar esa valoración.
¿Cuáles son las sanciones por una brecha de datos mal gestionada?
El GDPR prevé dos tramos: hasta 10 millones de euros o el 2% de la facturación por medidas de seguridad inadecuadas y falta de notificación, hasta 20 millones o el 4% de la facturación por violaciones más graves. Siempre se aplica el importe más alto entre la cifra fija y el porcentaje.
¿Debo avisar también a los clientes afectados por la violación?
Sí, si la violación supone un riesgo elevado para los derechos de las personas (por ejemplo, datos de salud, bancarios o credenciales). El artículo 34 del GDPR obliga a comunicarlo a los interesados sin dilación indebida y con un lenguaje claro.
¿Un error humano cuenta como brecha de datos?
Sí. Enviar un correo con datos personales al destinatario equivocado, extraviar una memoria USB o borrar por error un archivo sin copia de seguridad son brechas de datos a todos los efectos, con las mismas obligaciones de notificación que un ciberataque.
¿Cómo se previene una brecha de datos en una pyme?
Mapeando los datos tratados, limitando los accesos, probando las copias de seguridad, formando al personal contra el phishing, controlando a los proveedores y gobernando el uso de herramientas de IA. El punto de partida es una auditoría de seguridad que identifica las vulnerabilidades y documenta la diligencia adoptada.
¿Quieres llegar preparado al momento en que el cronómetro de las 72 horas empiece a correr? Habla con nosotros y valoramos juntos una auditoría de seguridad ajustada a tu empresa.