La Agencia Española de Protección de Datos (AEPD) ha recibido 3.027 notificaciones de brechas de datos personales durante el primer semestre de 2026, frente a las 1.271 registradas en el mismo periodo de 2025. Esta diferencia representa un incremento del 138 % y sitúa las cifras de los primeros seis meses del año por encima del total registrado durante todo 2025, cuando se contabilizaron 2.765 notificaciones.
Estos datos reflejan la importancia de reforzar la seguridad de la información y la protección de datos personales en las organizaciones. La prevención de incidentes, la supervisión de los proveedores y la existencia de protocolos de actuación son elementos esenciales para reducir los riesgos y cumplir con las obligaciones establecidas por el Reglamento General de Protección de Datos (RGPD).
¿Qué está provocando el aumento de las brechas de datos personales?
Los informes publicados por la AEPD permiten identificar diferentes situaciones que han contribuido al incremento de las notificaciones. Una de ellas son los incidentes de seguridad que afectan a un encargado del tratamiento y comprometen los datos de múltiples organizaciones. Cuando un proveedor presta servicios a varias empresas, una única brecha puede tener consecuencias para todos los responsables del tratamiento que dependen de sus sistemas.
En estos casos, el encargado del tratamiento debe informar al responsable sin dilación indebida cuando tenga conocimiento de una brecha de datos personales. Esta comunicación resulta fundamental para que la empresa afectada pueda evaluar el incidente, determinar sus obligaciones legales y adoptar las medidas necesarias para limitar sus consecuencias.
El sector hotelero también ha contribuido al aumento de las notificaciones. Algunos incidentes están relacionados con proveedores de software para la gestión de reservas, cuyos sistemas pueden almacenar información personal de clientes. Cuando terceros no autorizados acceden a estos datos, pueden utilizarlos para realizar intentos de fraude o comunicaciones engañosas dirigidas a las personas afectadas.
Por otro lado, el ransomware continúa siendo una amenaza para organizaciones de diferentes sectores. Estos ataques pueden bloquear el acceso a los sistemas, interrumpir la actividad empresarial y provocar la extracción o exposición de información confidencial. Por tanto, pueden comprometer tanto la disponibilidad como la confidencialidad de los datos personales.
Qué obligaciones establece el RGPD ante una brecha de seguridad
El artículo 33 del Reglamento General de Protección de Datos establece la obligación de notificar las brechas de datos personales a la autoridad de control competente, salvo que sea improbable que constituyan un riesgo para los derechos y libertades de las personas físicas.
Cuando la notificación sea obligatoria, el responsable del tratamiento debe realizarla sin dilación indebida y, a ser posible, en un plazo máximo de 72 horas desde que tenga constancia de la brecha. Si la comunicación se efectúa fuera de ese plazo, deberá justificar los motivos de la demora.
La notificación debe incluir información sobre la naturaleza del incidente, las categorías y el número aproximado de personas afectadas, las posibles consecuencias y las medidas adoptadas o previstas para resolverlo y reducir sus efectos. Si no se dispone de toda la información desde el principio, el RGPD permite facilitarla por fases sin dilaciones indebidas.
Es importante tener en cuenta que no todas las brechas deben notificarse a la AEPD. La decisión depende de la evaluación del riesgo que el incidente pueda representar para los derechos y libertades de las personas. Sin embargo, todas las brechas deben quedar documentadas, incluidas aquellas que no sea obligatorio comunicar a la autoridad.
Además, el artículo 34 del RGPD contempla la comunicación de la brecha a las personas afectadas cuando sea probable que entrañe un alto riesgo para sus derechos y libertades, salvo que se cumpla alguna de las excepciones previstas en la normativa. Esta comunicación debe realizarse sin dilación indebida y explicar, en un lenguaje claro, la naturaleza del incidente y las medidas que pueden adoptarse para protegerse.
Cómo prevenir las brechas de datos personales en una empresa
La prevención debe formar parte de la gestión habitual de la organización. Para ello, es necesario aplicar medidas técnicas y organizativas adecuadas al nivel de riesgo, revisar los procedimientos internos y comprobar que los sistemas utilizados para almacenar y gestionar información personal cuentan con las garantías necesarias.
Una de las medidas fundamentales es la minimización de datos, que consiste en limitar la información recogida y tratada a la estrictamente necesaria para cada finalidad. También conviene establecer políticas de conservación que permitan eliminar o anonimizar los datos cuando dejen de ser necesarios, así como aplicar mecanismos de bloqueo cuando corresponda legalmente.
La organización debe reforzar los controles de acceso a la información, de manera que cada usuario pueda consultar únicamente los datos que necesita para desarrollar sus funciones. La autenticación multifactor, la actualización de los sistemas, el cifrado, la segmentación de redes y la realización periódica de copias de seguridad son otras medidas que pueden contribuir a reducir el impacto de los incidentes.
La gestión de proveedores y encargados del tratamiento también requiere especial atención. Antes de contratar un servicio que implique el acceso a datos personales, es recomendable evaluar las garantías de seguridad del proveedor y establecer las obligaciones correspondientes en el contrato. Asimismo, deben definirse procedimientos para comunicar los incidentes, intercambiar información y coordinar la respuesta ante una brecha.
Por último, resulta imprescindible disponer de un protocolo de gestión de brechas de seguridad. Este procedimiento debe determinar quién coordina la respuesta, cómo se detecta y contiene el incidente, de qué manera se evalúan los riesgos y quién decide sobre las notificaciones y comunicaciones que correspondan. La formación de los empleados también es importante para facilitar la detección temprana de situaciones sospechosas.
Por qué es fundamental actuar con rapidez ante una brecha
La rapidez de respuesta puede marcar una diferencia importante en las consecuencias de un incidente. Identificar su origen, limitar los accesos no autorizados y recuperar los sistemas afectados permite reducir los daños y mejorar la capacidad de recuperación de la organización.
La magnitud de las comunicaciones realizadas durante el primer semestre de 2026 ilustra el alcance potencial de estos incidentes. Según la información difundida por la AEPD, los responsables que notificaron brechas a la Agencia emitieron más de 71 millones de comunicaciones a las personas afectadas al apreciar la posibilidad de un riesgo alto.
Una brecha de datos personales puede tener consecuencias que van más allá de una incidencia técnica. La exposición de información puede facilitar la suplantación de identidad, el fraude y otros perjuicios para las personas afectadas. Para las empresas, también puede generar interrupciones operativas, pérdida de confianza, daños reputacionales y posibles responsabilidades legales.
Por este motivo, el cumplimiento del RGPD no debe limitarse a disponer de documentación o políticas de privacidad. Las organizaciones necesitan integrar la protección de datos en sus procesos, evaluar periódicamente los riesgos y estar preparadas para responder ante incidentes.
En FORLOPD te ayudamos a reforzar la seguridad de los datos personales y mejorar la capacidad de respuesta de tu empresa ante posibles brechas de seguridad. Revisamos tus procedimientos, identificamos riesgos y te asesoramos para cumplir con las obligaciones del RGPD.
Contacta con nuestros especialistas y descubre cómo podemos ayudarte a proteger la información de tu organización.
Preguntas frecuentes sobre las brechas de datos personales
¿Qué se considera una brecha de datos personales?
Es un incidente de seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. Puede producirse por un ciberataque, un error humano, el envío de información al destinatario equivocado o la pérdida de un dispositivo que contiene datos.
¿Quién es responsable de gestionar una brecha de datos dentro de una empresa?
La responsabilidad corresponde a la organización que actúa como responsable del tratamiento, que debe coordinar la respuesta y valorar las obligaciones legales. Para ello, es conveniente definir previamente las funciones de la dirección, el departamento de sistemas, el equipo jurídico y el delegado de protección de datos, cuando exista.
¿Qué debe hacer un empleado si detecta una posible brecha de seguridad?
Debe comunicarla inmediatamente a través del procedimiento interno establecido, aportando toda la información disponible. No debería borrar pruebas, modificar los sistemas afectados por iniciativa propia ni retrasar el aviso mientras intenta comprobar por su cuenta el alcance del incidente.
¿Cómo se puede comprobar si una empresa está preparada para gestionar una brecha?
Una forma de comprobarlo es realizar una revisión interna de los procedimientos y ejercicios prácticos que simulen incidentes. Estas pruebas permiten detectar fallos en los canales de comunicación, dificultades para identificar a los responsables y carencias en la coordinación entre los equipos implicados.
¿Qué documentación conviene conservar después de un incidente de seguridad?
Es recomendable mantener un registro cronológico de los hechos, las investigaciones realizadas, las decisiones adoptadas, las medidas correctoras y las comunicaciones efectuadas. Esta documentación ayuda a justificar las actuaciones de la organización, evaluar la eficacia de la respuesta y prevenir incidentes similares en el futuro.
¿Es necesario revisar los procedimientos de seguridad aunque no se hayan sufrido brechas?
Sí. La ausencia de incidentes conocidos no garantiza que los sistemas y procesos sean seguros. Las revisiones periódicas permiten detectar vulnerabilidades, comprobar que los controles siguen siendo adecuados y adaptar las medidas de protección a los cambios tecnológicos, organizativos y normativos.
Asesoramiento para prevenir brechas de datos
En FORLOPD ayudamos a las empresas a cumplir con sus obligaciones en materia de protección de datos, identificar riesgos y establecer medidas adecuadas para proteger la información que gestionan. La adaptación al RGPD y a la LOPDGDD requiere revisar los tratamientos de datos, evaluar las medidas existentes y mantener procedimientos que permitan responder de forma adecuada ante posibles incidentes.
Contar con asesoramiento especializado en protección de datos permite detectar carencias, mejorar los procedimientos internos y reforzar la prevención. También facilita la preparación de protocolos de actuación y la evaluación de las obligaciones de notificación cuando se produce una brecha de seguridad.
Si necesitas revisar el cumplimiento normativo de tu organización o mejorar la protección de los datos personales que gestionas, en FORLOPD podemos ayudarte a identificar las necesidades de tu empresa y definir las medidas prioritarias.
Contacta con nosotros y recibe asesoramiento adaptado a tu organización.
Fuente: ElDerecho.com
