Brecha de datos en una pyme: qué hechos recopilar para valorar la respuesta

Ante una posible brecha de datos, recoge hechos verificables y activa la valoración técnica y jurídica sin esperar a conocer todos los detalles.

Los artículos 33 y 34 del RGPD distinguen la notificación a la autoridad de control y la comunicación a las personas afectadas. Las obligaciones dependen del riesgo y las circunstancias; no todo incidente exige exactamente la misma respuesta.

Registra el momento y el alcance conocido

Anota cuándo se detectó, quién avisó y qué información permite pensar que existe una brecha. Distingue pérdida, alteración, acceso o comunicación no autorizados. Señala qué sistemas y categorías de datos podrían estar implicados, separando lo confirmado de lo que se investiga.

Si interviene un proveedor, pide una descripción concreta de los servicios afectados y de las medidas adoptadas. Una frase como «incidencia resuelta» puede no explicar qué ocurrió con los datos de tus clientes.

Contén sin destruir evidencias

Coordina las medidas con el equipo técnico: limitar accesos, preservar registros y evitar que el problema continúe. Registra cada actuación y su hora. No borres cuentas, mensajes o archivos precipitadamente si pueden ser necesarios para reconstruir lo sucedido.

Designa un punto de contacto que reúna la información y evite versiones contradictorias. No difundas listas de afectados a todo el equipo para mantenerlo informado.

Evalúa las comunicaciones a tiempo

El RGPD fija obligaciones temporales concretas, incluida la referencia a 72 horas para la notificación a la autoridad cuando proceda. El cómputo y las excepciones deben revisarse con los hechos, sin esperar un informe perfecto para consultar.

Documenta también la decisión si se concluye que no procede notificar. Una brecha puede afectar derechos aunque no haya una pérdida económica conocida. La respuesta debe explicar alcance, consecuencias y medidas con prudencia, sin afirmar que no hubo acceso a datos cuando la investigación todavía no lo acredita.