Plan de Respuesta a Brechas de Datos: Quién Notifica y Cuándo

Un plan de respuesta a brechas de datos es el documento que decide, antes de la crisis, quién descubre, quién decide, quién notifica a la AEPD, quién habla con el cliente y en cuántas horas ocurre cada cosa. Sin él, la empresa descubre el incidente un viernes por la noche y agota el plazo legal discutiendo de quién es la responsabilidad. Esta guía muestra cómo elaborar el suyo, con plazos reales, roles y una lista de verificación de las primeras 72 horas.

TL;DR

• El RGPD (Art. 33) establece un plazo de 72 horas, contadas desde que se tiene conocimiento del incidente, para comunicar a la AEPD y a los interesados cuando exista un riesgo o daño relevante.
• Después de la comunicación, se dispone de 20 días hábiles para complementar la información. Todo incidente, comunicado o no, debe quedar registrado por un mínimo de 5 años.
• El coste medio de una brecha de datos en Brasil alcanzó los 7,19 millones de euros en 2025, según el informe Cost of a Data Breach de IBM. La multa del RGPD es solo una parte de esa cuenta.
• El plan de respuesta a brechas cabe en pocas páginas: roles designados, árbol de decisión de "comunicar o no comunicar", modelos de texto listos y una lista de verificación por hora.

Qué es un plan de respuesta a brechas (y qué no es)

Es una hoja de ruta operativa, no la política de privacidad ni la evaluación de impacto (EIPD). Responde por escrito a cinco preguntas que nadie responde bien con el corazón acelerado:

1. ¿Quién puede declarar que existe un incidente?
2. ¿Quién decide si debe ser comunicado a la AEPD y a los interesados?
3. ¿Quién ejecuta la contención técnica (cambiar contraseñas, aislar servidor, revocar token)?
4. ¿Quién escribe y firma las comunicaciones?
5. ¿Dónde queda la evidencia de todo lo que se hizo, y en qué orden?

El Reglamento General de Protección de Datos (RGPD, art. 33) obliga al responsable del tratamiento a comunicar a la autoridad y al interesado cuando un incidente pueda generar un riesgo o daño relevante. El RGPD establece un plazo de 72 horas para la comunicación a la autoridad de control y, en su caso, a los interesados.

En Agathas Web, administramos servidores de Moodle, sitios web, APIs e integraciones con la API oficial de WhatsApp para clientes de diversos tamaños. El patrón que vemos se repite: quien tiene un plan de respuesta a brechas de datos de tres páginas resuelve en horas lo que quien no tiene resuelve en días. La diferencia casi nunca es técnica. Es de decisión.

Si aún está en la fase de entender cómo ocurren las brechas, comience por nuestra guía sobre qué es una brecha de datos y cómo evitarla. Este post parte del punto en que la prevención ha fallado.

Los plazos del RGPD y las directrices de la AEPD, sin jerga legal

El RGPD, en vigor desde mayo de 2018, regula la comunicación de incidentes de seguridad. La AEPD, como autoridad de control, supervisa su cumplimiento. Los números que importan para quien diseña un plan de respuesta a brechas de datos:

Qué	Plazo	Contado desde
Comunicar a la AEPD (incidente con riesgo o daño relevante)	72 horas	Conocimiento de que el incidente afectó datos personales
Comunicar a los interesados afectados	Sin dilación indebida (si el riesgo es alto)	Mismo marco
Complementar la comunicación hecha a la AEPD	20 días hábiles	Fecha de la comunicación
Conservación del registro de incidentes (incluidos los no comunicados)	Mínimo de 5 años	Fecha del registro

Tres detalles que suelen pillar a las empresas

El reloj no espera a que termine la investigación. Corre desde que el responsable del tratamiento sabe que los datos personales han sido afectados. Investigar una semana antes de "declarar" el incidente solo genera un retraso que justificar.

La comunicación preliminar existe, pero no resuelve por sí sola. Según la página oficial de la AEPD sobre brechas de seguridad, se acepta cuando faltan informaciones, siempre que esté justificada y se complemente posteriormente. Por sí sola, no cumple el art. 33 del RGPD.

El canal es la Sede Electrónica de la AEPD. El Delegado de Protección de Datos (DPD) o el representante legal lo presenta mediante la sede electrónica. Si nadie de la empresa tiene acceso como usuario externo en la Sede Electrónica, créelo ahora, no el día del incidente.

Cuándo debe ser notificado el incidente

La AEPD considera tres condiciones al mismo tiempo: el incidente ha sido confirmado, involucra datos personales sujetos al RGPD y puede generar un riesgo o daño relevante para los interesados. Se considera "relevante" si:

• Datos sensibles (salud, biometría, religión) o de menores y personas mayores;
• Gran escala, por la cantidad de interesados y de datos;
• Ausencia de cifrado que haga los datos ininteligibles;
• Poca eficacia de las medidas de mitigación ya aplicadas.

Una matriz de decisión que cabe en una hoja

Comunicar todo, por miedo, genera ruido. No comunicar por conveniencia es una infracción. El término medio es una matriz simple, que todo plan de respuesta a brechas debe incluir, cumplimentada por el Delegado de Protección de Datos (DPD) y anexada al registro.

Situación	Tendencia	Por qué
Portátil perdido con disco cifrado y contraseña fuerte	Registrar, no comunicar	Datos ininteligibles para terceros
Hoja de cálculo de clientes con nombre y correo electrónico enviada al destinatario equivocado, que confirmó la eliminación	Registrar, evaluar	Baja escala y contención comprobada
Base de datos de Moodle con DNI, notas e informes de accesibilidad copiada por un intruso	Comunicar	Dato sensible, escala y copia confirmada
Token de la API de WhatsApp expuesto en repositorio público, con historial de conversaciones accesible	Comunicar	Contenido de mensajes y teléfonos de clientes
Ransomware con exfiltración confirmada	Comunicar	Copia de datos más riesgo de divulgación

La tabla es una tendencia, no un dictamen. Lo que la matriz garantiza es que la decisión se tomó con criterio y puede ser explicada después, y es ese rastro el que la inspección revisa.

Para quien opera un entorno de educación a distancia, hay particularidades: datos de menores, informes médicos para adaptación de pruebas y calificaciones. Detallamos esto en RGPD en Moodle: lo que la institución debe hacer en el EVA.

Quién notifica a quién: el mapa de roles

El error más común es el plan que dice "la empresa comunicará a la AEPD". Quien comunica es una persona. Su plan de respuesta a brechas de datos necesita tener nombres, teléfonos personales y un sustituto para cada rol.

Rol	Quién suele ser	Responsabilidad principal
Coordinador del incidente	Socio, director o gestor de TI	Declara el incidente, convoca al equipo, decide prioridades
Delegado de Protección de Datos (DPD)	Interno o externalizado	Evalúa riesgo relevante, redacta y presenta la comunicación en la AEPD
Líder técnico	Sysadmin, proveedor de alojamiento, desarrollador responsable	Contención, preservación de evidencias, causa raíz
Jurídico	Abogado interno o despacho	Revisa comunicados, contratos con encargados del tratamiento, exposición a acciones
Comunicación	Marketing o atención al cliente	Texto a los interesados, respuestas a clientes y prensa
Encargados del tratamiento	Alojamiento, SaaS, agencia, proveedor de software	Notifican al responsable del tratamiento y entregan logs e información

Responsable y encargado del tratamiento no tienen el mismo deber

Quien decide sobre los datos (el responsable del tratamiento, normalmente su empresa) es quien comunica a la AEPD y a los interesados. El encargado del tratamiento (el alojamiento, el proveedor del CRM, la agencia que gestiona su sitio web) tiene el deber de notificar al responsable del tratamiento y colaborar. En la práctica, esto significa que su plazo de 72 horas depende de la velocidad de su proveedor.

Revise los contratos: una cláusula que exija notificación en un plazo máximo de 24 horas, con entrega de logs, salva su plazo. En los contratos de alojamiento gestionado que operamos, la notificación al cliente es inmediata y el log se adjunta, porque sabemos que es él quien responde ante la AEPD.

Lista de verificación de las primeras 72 horas

Las 72 horas siguientes son el corazón de cualquier plan de respuesta a brechas de datos y encajan dentro del plazo legal en la mayoría de los escenarios. Si el incidente comienza un viernes, gana el fin de semana para investigar, pero no cuente con ello para retrasar la decisión.

Hora 0 a 4: confirmar y contener

• Registrar fecha y hora exactas en que alguien tuvo conocimiento. Este es el hito del plazo.
• El Coordinador declara el incidente y abre un canal cerrado (grupo dedicado, no el grupo general de la empresa).
• El Líder técnico preserva evidencias antes de limpiar: instantánea del servidor, copia de los logs de acceso, de la base de datos y del firewall.
• Contener: cambiar contraseñas y claves expuestas, revocar tokens de API, bloquear IPs, aislar la máquina comprometida.
• Notificar a los encargados del tratamiento involucrados (alojamiento, SaaS) y solicitar logs formalmente, por escrito.

Hora 4 a 24: dimensionar

• ¿Qué categorías de datos fueron afectadas? ¿Hay datos sensibles, financieros o de menores?
• ¿Cuántos interesados? Una estimación con método vale más que un "no sabemos".
• ¿Los datos estaban cifrados? ¿La clave también se filtró?
• ¿El acceso fue solo lectura o hubo copia, alteración o eliminación?
• El Delegado de Protección de Datos (DPD) rellena la matriz de riesgo (ver sección siguiente) y recomienda: comunicar o registrar.

Hora 24 a 72: decidir y notificar

• El Coordinador y el jurídico validan la decisión. Si se decide comunicar, el DPD lo presenta en la Sede Electrónica de la AEPD (preliminar, si faltan datos).
• La comunicación a los interesados sale por el canal habitual (correo electrónico, SMS, WhatsApp, área del alumno), en lenguaje sencillo.
• Atención al cliente recibe una guía de respuestas y el contacto del Delegado de Protección de Datos (DPD).
• Todo se registra en el registro de incidentes, incluida la decisión de no comunicar y el porqué.

Después de las 72 horas

• Complementar la comunicación en la AEPD dentro de los 20 días hábiles.
• Informe de causa raíz y lista de correcciones con responsable y fecha.
• Reunión de lecciones aprendidas y actualización del plan.

Qué decir a la AEPD y a los interesados

La comunicación a la AEPD sigue el formulario oficial. La comunicación al interesado es suya, y es ella la que define la reacción del cliente. Deje los dos modelos listos dentro del plan de respuesta a brechas de datos, revisados por el jurídico.

Contenido mínimo para los interesados

Según la orientación de la AEPD, el texto al interesado incluye, en lenguaje sencillo: naturaleza y categoría de los datos, medidas de seguridad que los protegían, riesgos, motivos de eventual demora, medidas de mitigación, fecha en que tuvo conocimiento y contacto del Delegado de Protección de Datos (DPD). Debe ser directo e individual siempre que sea posible; un aviso genérico en el sitio web o en la prensa es una excepción y necesita justificación.

Cuando NO enviar la comunicación todavía

No envíe correos electrónicos a miles de personas antes de saber si el intruso todavía está dentro. Si la cuenta de correo electrónico transaccional ha sido comprometida, su aviso se convierte en el phishing del atacante. Contenga primero, comunique por un canal que usted controla y, si esto retrasa el plazo, use la comunicación preliminar y documente el motivo.

Dos errores clásicos de texto: minimizar ("un pequeño incidente sin impacto") antes de saber el tamaño, y pedir al cliente que haga clic en un enlace para "verificar si fue afectado", que es exactamente el patrón de estafa.

Cuánto cuesta no tener un plan

El informe Cost of a Data Breach 2025 de IBM estimó el coste medio de una brecha en Brasil en 7,19 millones de euros, un aumento del 6,5% sobre 2024. El sector de la salud lidera, con una media de 11,43 millones de euros. El compromiso de terceros y de la cadena de suministro apareció como el vector más caro, con una media de 8,98 millones de euros. Aunque la muestra es de organizaciones más grandes que la PYME media, la composición del coste es válida para todos: peritaje, abogado, atención al cliente y clientes perdidos.

La multa del RGPD puede llegar hasta el 4% del volumen de negocio anual global o 20 millones de euros, la cuantía que sea mayor (art. 83). Además de esta, existen advertencia, publicación de la infracción y bloqueo o eliminación de los datos. Para muchas empresas, la publicación duele más que la multa.

Y los incidentes son rutina. Según un estudio realizado a partir de los paneles de la ANPD (Autoridad Nacional de Protección de Datos de Brasil), la media se situó en torno a 350 comunicaciones de incidentes al año entre 2023 y 2025, con ransomware y robo de credenciales entre los tipos más frecuentes. En España, la AEPD también recibe un número significativo de notificaciones de brechas anualmente, lo que subraya la importancia de estar preparado.

Sin un plan, el dinero se esfuma en peritajes contratados a toda prisa, en comunicaciones demasiado amplias por falta de dimensionamiento y en plazos excedidos, lo que transforma un incidente bien tratado en un proceso sancionador.

Elaborar y probar un plan de respuesta a brechas de datos cuesta una fracción de eso. Una consultoría de tecnología bien definida entrega el plan, los modelos y el primer simulacro en pocas semanas.

Trampas técnicas que vemos en la práctica

Esta es la parte que el modelo de plan de respuesta a brechas descargado de internet no cubre, porque depende de cómo funciona realmente su infraestructura.

Logs que nadie guarda

Servidor con rotación de logs de 7 días e incidente descubierto 20 días después: no hay forma de probar lo que fue accedido. Defina una retención mínima (90 días es un punto de partida razonable para logs de acceso web y de base de datos) y guárdelos fuera del servidor que puede ser comprometido. Sin logs, ningún plan de respuesta a brechas de datos funciona.

Credenciales compartidas

"La contraseña del panel está en el grupo de WhatsApp" es la frase que más escuchamos al asumir un entorno. Con cinco personas en el mismo login, nadie sabe quién hizo qué. Las cuentas individuales con doble factor son un prerrequisito, no una mejora futura.

Tokens de API olvidados

Las integraciones con la API oficial de WhatsApp, pasarelas de pago y CRMs usan tokens de larga duración. Un token en un repositorio público o en un .env expuesto da acceso a conversaciones y datos de clientes. Liste dónde reside cada token y cómo revocarlo en minutos.

Backup que también se filtró

Un backup en la misma cuenta de la nube, con la misma credencial, cae junto. Y un dump .sql olvidado en la carpeta pública del sitio web es una brecha esperando ocurrir.

En cuanto al lado humano del problema, el uso de IA sin control también se ha convertido en una puerta de salida de datos. Tratamos esto en política de uso de IA en la empresa.

Cómo elaborar su plan de respuesta a brechas en 4 etapas

No necesita un documento de 60 páginas. Necesita un documento que alguien abre a las 23:00 y consigue seguir.

1. Inventario mínimo. Qué sistemas tratan datos personales, dónde están alojados, quién es el proveedor, dónde quedan los logs y los backups. Una hoja de cálculo lo resuelve.
2. Roles y contactos. La tabla de roles anterior, con nombre, sustituto, teléfono personal y quién tiene acceso a la Sede Electrónica de la AEPD.
3. Procedimientos y modelos. La lista de verificación de 72 horas, la matriz de decisión, el modelo de comunicación al interesado y el modelo de registro de incidente.
4. Prueba. Un simulacro de mesa (tabletop) de 2 horas: alguien describe el escenario, el equipo responde cómo actuaría. La primera vez, siempre aparece un hueco, y es mejor que aparezca en el simulacro.

Cuando no vale la pena complicar

Si su empresa tiene un sitio web institucional sin formulario y ningún sistema con datos de clientes, el plan de respuesta a brechas de datos puede ser una página. Complejidad proporcional al riesgo. Lo que no existe es "no tengo datos personales" para quien atiende a clientes por WhatsApp, emite facturas o tiene una lista de correos electrónicos.

Cómo Agathas Web resuelve esto

Nuestra consultoría de tecnología elabora el plan de respuesta a brechas de datos a partir de la infraestructura real de su empresa, no de un modelo genérico. Somos un equipo técnico: revisamos servidor, logs, backups, tokens y contratos de proveedor, y entregamos el plan junto con las correcciones que hacen el plan ejecutable.

Lo que está incluido:

• Diagnóstico de la infraestructura: dónde están los datos personales, quién accede, retención de logs, backups, credenciales compartidas y tokens de API expuestos.
• Plan escrito con roles, contactos, lista de verificación de 72 horas, matriz de decisión y modelos de comunicación a la AEPD y a los interesados.
• Ajustes técnicos prioritarios: retención de logs fuera del servidor, cuentas individuales con doble factor, revisión de backups y escaneo de archivos expuestos.
• Simulacro de mesa con su equipo e informe con lo que necesita mejorar.
• Soporte en el incidente real, si sucede: contención, preservación de evidencias y datos técnicos para el Delegado de Protección de Datos (DPD) y el jurídico.

Cómo funciona: una conversación inicial de diagnóstico, una propuesta con alcance y plazo cerrados y la ejecución en ciclos cortos. No sustituimos a su abogado ni a su DPD. Entregamos la parte técnica que ellos necesitan para cumplir el plazo, y revisamos el plan de respuesta a brechas siempre que la infraestructura cambia. Para contratar, hable con nosotros a través de la página de consultoría en tecnología y seguridad.

Conclusión: el plan es para el peor día, escríbalo en el mejor

Setenta y dos horas parecen mucho hasta que necesita descubrir, en medio de un incidente, quién tiene la contraseña del servidor, dónde está el log y quién puede firmar la comunicación. Un plan de respuesta a brechas de datos no impide el ataque. Impide que el ataque se convierta también en una infracción, un plazo perdido y una comunicación desastrosa.

Comience por lo básico de su plan de respuesta a brechas de datos aún esta semana: nombre al coordinador y al Delegado de Protección de Datos (DPD), cree el acceso a la Sede Electrónica de la AEPD y descubra por cuántos días se guardan sus logs. Si desea ayuda para transformar esto en un plan probado, la consultoría de Agathas Web realiza el diagnóstico y entrega el plan listo para usar.