Brecha de seguridad: qué es, cuándo hay que notificarla y cómo se responde

1. Qué es una brecha de seguridad, en una frase

Una brecha de seguridad de datos personales es cualquier violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, con las consecuencias que puedan derivarse para los derechos y libertades de las personas afectadas y con las obligaciones de notificación que el RGPD impone al responsable del tratamiento.

1.1. Definición del artículo 4 del RGPD

El artículo 4 apartado 12 del RGPD define la brecha con precisión técnica: violación de la seguridad que ocasione destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales. La definición es amplia y cubre múltiples tipos de incidentes: robo de dispositivos, ataque informático, envío erróneo de información a destinatario no autorizado, pérdida de soporte físico, acceso indebido por personal interno. Cualquier incidente que encaje en la definición es brecha con las obligaciones correspondientes.

1.2. Categoría especial en datos de salud

Las brechas que afectan a datos de salud son especialmente graves porque los datos de salud son categoría especial de datos según el RGPD. La AEPD ha señalado en múltiples resoluciones el rigor con el que valora estas brechas. La calificación del riesgo para los derechos y libertades de las personas afectadas —criterio para la notificación— suele ser elevada en brechas con datos de salud, con las consecuencias que tiene para las obligaciones del responsable del tratamiento correspondiente al centro sanitario.

2. Tipos de brechas

El RGPD y la doctrina consolidada distinguen tres grandes tipos de brechas por su naturaleza.

2.1. Brechas de confidencialidad

Las brechas de confidencialidad ocurren cuando datos personales son accedidos o comunicados a personas no autorizadas. En el ámbito sanitario, ejemplos habituales son: envío erróneo de un informe médico a paciente distinto, acceso indebido por profesional sin necesidad de conocer, publicación involuntaria de datos en canales no seguros, robo de dispositivos con acceso a información sanitaria. Son el tipo más frecuente de brecha y suelen tener alto potencial de impacto en la intimidad del paciente afectado por la comunicación indebida.

2.2. Brechas de integridad

Las brechas de integridad ocurren cuando los datos personales son alterados de forma no autorizada. En el ámbito sanitario: modificación indebida de historia clínica, alteración de resultados de pruebas, manipulación de registros. Son menos frecuentes que las de confidencialidad pero especialmente graves porque afectan directamente a la calidad de la información asistencial, con consecuencias clínicas potenciales sobre las decisiones que se tomen sobre esa información alterada correspondiente al paciente correspondiente al centro sanitario.

2.3. Brechas de disponibilidad

Las brechas de disponibilidad ocurren cuando los datos personales son destruidos o dejan de estar accesibles al responsable del tratamiento. En el ámbito sanitario: destrucción accidental de historias clínicas, ataque de ransomware que cifra información sin posibilidad de recuperación, pérdida de copias de seguridad. Son especialmente graves cuando afectan a información con obligación de conservación por Ley 41/2002 correspondientes al régimen aplicable al centro sanitario correspondiente al ejercicio profesional realizado.

3. Cuándo hay que notificarla

La obligación de notificar depende del riesgo para los derechos y libertades de las personas afectadas.

3.1. Notificación a la AEPD

La notificación a la AEPD es obligatoria cuando la brecha suponga riesgo para los derechos y libertades de las personas físicas, salvo que el riesgo sea improbable. La valoración del riesgo se hace caso a caso con criterios específicos —tipo de brecha, categoría de datos afectados, número de afectados, facilidad de identificación de personas, gravedad de las consecuencias posibles—. En brechas con datos de salud, el criterio prudente es la notificación por defecto, dado el alto potencial de impacto característico de la categoría especial.

3.2. Notificación a los afectados

La notificación a las personas afectadas es obligatoria cuando la brecha suponga alto riesgo para sus derechos y libertades, salvo excepciones tasadas —datos cifrados que hagan la información ininteligible, medidas ulteriores que garanticen la no materialización del alto riesgo, esfuerzo desproporcionado que se supla por comunicación pública equivalente—. El umbral del alto riesgo es más exigente que el del riesgo para la notificación a la AEPD, con la valoración correspondiente al caso concreto.

3.3. Registro interno siempre

Toda brecha, con independencia de si requiere notificación a la AEPD o a los afectados, debe registrarse internamente por el centro con la documentación del incidente, del análisis realizado y de la decisión sobre notificación. El registro interno es requisito de la responsabilidad proactiva del RGPD y permite responder ante requerimiento posterior de la AEPD sobre el trámite dado a incidentes concretos ocurridos en el centro correspondiente al ejercicio realizado durante el proceso.

4. Plazo de 72 horas

El plazo de notificación a la AEPD es específico y con exigencia particular.

4.1. Contado desde el conocimiento

El plazo es de 72 horas desde que el responsable tenga conocimiento efectivo de la brecha. El conocimiento se cuenta desde el momento en que el responsable dispone de indicios razonables de que ha ocurrido una brecha con los elementos que activan la obligación. No se cuenta desde el momento del incidente objetivo cuando el responsable lo descubre después, sino desde el descubrimiento. La documentación del momento del conocimiento efectivo es importante para acreditar el cumplimiento del plazo correspondiente al ejercicio realizado.

4.2. Notificación incompleta si es necesario

Si en las 72 horas no se dispone de toda la información necesaria, el RGPD admite notificación inicial incompleta con los datos disponibles y con el compromiso de ampliar con la información complementaria en cuanto esté disponible. La AEPD acepta pacíficamente estas notificaciones inicialmente incompletas ampliadas después, mucho mejor que una notificación tardía completa que aparezca semanas después del conocimiento efectivo. La tempestividad prevalece sobre la exhaustividad inicial en el cumplimiento del plazo.

4.3. Consecuencias del incumplimiento

El incumplimiento del plazo es infracción independiente del incidente que la origina. La AEPD ha sancionado repetidamente el retraso o la ausencia de notificación en el plazo con multas propias, con independencia de la valoración del incidente original. Retrasar la notificación por miedo a las consecuencias o por búsqueda de información adicional es error frecuente que empeora la posición del centro. Notificar en plazo con la información disponible es siempre mejor estrategia que retrasar la notificación buscando exhaustividad correspondiente.

5. Notificación a los afectados

La notificación a los afectados tiene requisitos específicos distintos de la notificación a la AEPD.

5.1. Comunicación clara y sencilla

La notificación a los afectados debe hacerse en lenguaje claro y sencillo, describiendo la naturaleza de la brecha, indicando el punto de contacto para más información —habitualmente el DPD del centro—, describiendo las consecuencias probables y las medidas adoptadas o propuestas por el responsable para hacer frente a las consecuencias del incidente. El lenguaje debe ser accesible al destinatario no experto, con la matización que la comprensión efectiva por parte del afectado requiere en cada caso individual del proceso.

5.2. Sin demora indebida

La notificación a los afectados debe hacerse sin demora indebida cuando corresponda, sin el plazo específico de 72 horas de la notificación a la AEPD. La operativa práctica requiere organización previa —tener actualizada la lista de contactos, disponer de canales de comunicación adecuados, plantillas preparadas para adaptar rápidamente al incidente concreto—. La operativa improvisada tras el conocimiento del incidente suele retrasar la notificación con la percepción de demora indebida correspondiente.

5.3. Excepciones a la notificación individual

El RGPD contempla excepciones donde la notificación individual no es obligatoria: datos cifrados que hagan la información ininteligible al no autorizado, medidas ulteriores del responsable que eliminen el alto riesgo, esfuerzo desproporcionado que puede suplirse por comunicación pública equivalente. La aplicación de excepciones debe justificarse con rigor y documentarse formalmente, porque la AEPD puede revisar la decisión de no notificar y sancionar si considera injustificada la aplicación de la excepción en el caso concreto correspondiente al ejercicio realizado.

6. Cómo se articula la respuesta

La respuesta a una brecha se articula en fases con actuaciones específicas en cada una.

6.1. Detección y contención

La primera fase es la detección del incidente y la contención inmediata para evitar que se agrave: aislamiento del sistema afectado, bloqueo de accesos comprometidos, activación de copias de seguridad si procede. La detección temprana depende de sistemas de monitorización activa y de la formación del equipo para reconocer indicios de incidentes. La contención efectiva reduce el impacto y facilita la investigación posterior. Ambas actuaciones son requisitos básicos de la respuesta a incidentes que la operativa del centro debe articular con procedimientos claros.

6.2. Análisis y valoración

La segunda fase es el análisis del incidente y la valoración del riesgo para las personas afectadas. El análisis identifica qué datos personales han estado afectados, cuántas personas están involucradas, qué tipo de acceso o alteración se ha producido, qué medidas mitigantes existen ya en el sistema —cifrado, pseudonimización— que reduzcan el impacto real de la brecha. La valoración del riesgo determina si procede notificación a la AEPD, a los afectados o solo registro interno correspondiente al caso.

6.3. Notificación, comunicación y aprendizaje

La tercera fase incluye las notificaciones que correspondan, la comunicación con los afectados si procede, la ejecución de medidas correctoras para evitar recurrencia y la documentación completa del incidente para aprendizaje interno y para respuesta a requerimientos posteriores. El análisis post-incidente con lecciones aprendidas es requisito del sistema de mejora continua y suele ser factor atenuante en la valoración de la AEPD sobre la respuesta del responsable ante el incidente ocurrido correspondiente al ejercicio realizado.

7. Qué debe cumplir tu software con las brechas

Cinco criterios comprobables antes de asumir que el sistema soporta bien la gestión de brechas.

7.1. Los tres criterios estructurales

• Monitorización activa con detección de incidentes de seguridad y alertas.
• Registro de incidentes integrado con la documentación del análisis y respuesta.
• Notificación estructurada a AEPD con la información que la sede electrónica requiere.

7.2. Los dos criterios operativos

• Comunicación con afectados con plantillas configurables y canales adecuados.
• Análisis post-incidente documentado con lecciones aprendidas y medidas correctoras.

7.3. La prueba con un incidente simulado

Coge un incidente imaginario —envío erróneo de informe a paciente distinto, por ejemplo— y simula el flujo completo de respuesta. Comprueba que el sistema soporta la detección, el registro del incidente, el análisis con valoración del riesgo, la preparación de la notificación estructurada a la AEPD, la comunicación al afectado y el análisis post-incidente. Si el flujo cierra con evidencia técnica objetiva y en tiempos compatibles con las 72 horas, el sistema soporta bien la operativa correspondiente al ejercicio realizado.

8. Errores frecuentes al hablar de brechas

Tres confusiones habituales sobre brechas de seguridad.

8.1. «Si no ha habido daño, no hay que notificar»

La obligación de notificar depende del riesgo para los derechos y libertades de las personas afectadas, no de si el daño se ha materializado efectivamente. Muchas brechas notificables no acaban causando daño concreto porque las medidas correctoras se aplican a tiempo o porque no se materializan las consecuencias posibles, pero la notificación era obligatoria en el momento del conocimiento por el riesgo existente. Confundir daño efectivo con obligación de notificar es interpretación que la AEPD ha rechazado repetidamente en expedientes con sanción por notificación omitida correspondiente al régimen.

8.2. «Retraso la notificación hasta tener toda la información»

El RGPD admite notificación inicialmente incompleta ampliable después. Retrasar la notificación buscando exhaustividad hasta superar el plazo de 72 horas es infracción independiente del incidente. La AEPD acepta pacíficamente las notificaciones inicialmente incompletas ampliadas después, mucho mejor que las notificaciones tardías completas que aparecen semanas después. La tempestividad prevalece sobre la exhaustividad inicial en el cumplimiento del plazo. Notificar en plazo con la información disponible es siempre mejor estrategia correspondiente al ejercicio realizado.

8.3. «Las brechas solo son ataques informáticos»

Las brechas incluyen múltiples tipos de incidentes: robo de dispositivos, envío erróneo de correos con datos, pérdida de soportes físicos, acceso indebido por personal interno, destrucción accidental de información. Reducir el concepto a los ataques informáticos externos deja fuera del análisis muchos incidentes que la operativa cotidiana del centro puede generar y que también son brechas con obligación de notificación cuando concurran los umbrales de riesgo correspondientes al régimen aplicable.

9. Qué aporta obeliOmed con esto

El sistema estructura la gestión de brechas con la coherencia procesal que la respuesta en 72 horas requiere.

9.1. Detección y registro estructurado

El sistema integra monitorización activa con detección de indicios de incidentes de seguridad y con alertas al responsable del centro. Los incidentes detectados o comunicados internamente se registran en panel estructurado con la información del incidente, la fase de análisis y la decisión sobre notificación adoptada. La trazabilidad completa del proceso desde la detección hasta el cierre queda disponible para responder ante requerimiento posterior de la AEPD correspondiente al ejercicio realizado.

9.2. Notificación a AEPD con información estructurada

El sistema soporta la preparación de la notificación a la AEPD con la información estructurada que la sede electrónica de la agencia requiere. Los datos se precargan desde el análisis del incidente, con la coherencia entre el registro interno y la notificación externa. La notificación puede prepararse en horas desde el conocimiento del incidente, con la agilidad que el plazo de 72 horas exige del responsable del tratamiento correspondiente al centro sanitario del ejercicio profesional realizado.

9.3. Comunicación con afectados

El sistema facilita la comunicación con los afectados cuando procede la notificación individual, con plantillas configurables adaptables al tipo de brecha y con canales adecuados —email, portal del paciente, correo postal si es necesario—. La trazabilidad de las comunicaciones enviadas queda registrada con acuse de recibo o descarga cuando la infraestructura lo permite. El análisis post-incidente se documenta en el mismo panel con lecciones aprendidas y medidas correctoras adoptadas correspondientes al proceso realizado.