Si tu empresa sufre una brecha, valórala hoy: si hay riesgo para las personas, debes notificarla a la Agencia Española de Protección de Datos (AEPD) sin dilación y, de ser posible, en un máximo de 72 horas. Si eres un afectado, cambia las contraseñas, vigila tus cuentas y desconfía de cualquier mensaje que parezca venir de esa empresa.
Si eres la empresa responsable
- Contén el incidente. Corta el acceso, identifica la causa y conserva registros y pruebas.
- Anota cuándo tuviste constancia. Desde ahí cuenta el plazo (art. 33.1 del Reglamento General de Protección de Datos, RGPD).
- Valora el riesgo. Qué datos, cuántas personas, si son sensibles, si estaban cifrados, qué pueden hacer con ellos. La AEPD ofrece la herramienta ASESORA BRECHA.
- Notifica por la sede electrónica de la AEPD. Las notificaciones incluyen la naturaleza de la brecha, sus consecuencias y las medidas tomadas. Se puede dar la información por fases si no la tienes completa (art. 33.3 y 33.4).
- Avisa a los afectados si hay alto riesgo. Hazlo sin dilación indebida y con un lenguaje claro (art. 34). Diles qué ha pasado, qué riesgos hay y qué pueden hacer.
- Documenta siempre. Aunque decidas no notificar, deja constancia de los hechos, sus efectos y las medidas adoptadas (art. 33.5).
Atención con la autoridad competente: según la AEPD, las administraciones de Andalucía, Cataluña y País Vasco acuden a sus autoridades autonómicas. Si tienes varios establecimientos en la Unión Europea, la AEPD solo será la autoridad si el principal está en España.
Si el origen es un ataque, mira ransomware en la empresa y valora una denuncia. El acceso sin autorización y el apoderamiento de datos reservados pueden ser delito (arts. 197 y 197 bis del Código Penal). Las obligaciones del Real Decreto-ley 12/2018 pueden aplicarse además si eres operador de servicios esenciales o proveedor de servicios digitales.
Si tus datos se han visto afectados
- Cambia las contraseñas. Primero la del servicio afectado y de tu correo, y después las cuentas donde repetías la clave. Activa la verificación en dos pasos.
- Revisa qué se ha filtrado. Si incluye datos bancarios o de identidad, avisa a tu banco y vigila tus movimientos.
- Desconfía de los mensajes. Tras una brecha pueden contactarte con datos reales para engañarte. Lee qué hacer ante el phishing.
- Escribe a la empresa. Pide qué datos tuyos han sido afectados y qué medidas ha adoptado. Si procede, ejerce tu derecho de supresión (art. 17 RGPD). Tiene un mes para responder, prorrogable otros dos si es necesario (art. 12.3).
- Si no responde o no cumple, puedes reclamar ante la AEPD.
- Guarda todo. El aviso que recibiste, tu reclamación, las respuestas y cualquier uso fraudulento posterior. Si usan tus datos, mira suplantación de identidad.
Ayuda gratuita y confidencial: el 017 es la Línea de Ayuda en Ciberseguridad de INCIBE. Atiende a ciudadanos, empresas y menores y a su entorno, todos los días de 8:00 a 23:00. También ofrece canales de mensajería y formulario web: los tienes en su página oficial.
¿Puedo reclamar una indemnización?
Tienes derecho a una indemnización si has sufrido daños materiales o inmateriales por una infracción del RGPD (art. 82). No basta con que haya existido una brecha: habrá que acreditar la infracción, el daño y su relación. Guarda justificantes de pérdidas, gastos y otras consecuencias. Pide asesoramiento si el daño es relevante y valora el coste de reclamar. Si tienes pocos recursos, comprueba si tienes derecho a justicia gratuita.