Detectar una brecha de seguridad en tu pyme genera nervios, y es normal. Pero lo que marca la diferencia no es el susto, sino lo que hagas en las horas siguientes. El RGPD fija un plazo claro: 72 horas desde que tienes constancia del incidente. Esta checklist está pensada para que no se te olvide nada y puedas ir tachando pasos.
1. Confirma qué ha pasado y qué datos están en juego
Antes de tocar nada, entiende el alcance.
1. Anota la fecha y la hora exactas en que has detectado el incidente. Ese momento arranca el reloj de las 72 horas.
2. Identifica el origen: un email enviado a destinatarios equivocados, un dispositivo perdido, un acceso no autorizado, un proveedor comprometido...
3. Determina qué categorías de datos se han visto afectadas: nombres, correos, teléfonos, DNI, datos bancarios, datos de salud...
4. Comprueba cuántas personas están afectadas, aunque sea un número aproximado.
5. Pregúntate si existe riesgo para los derechos de esas personas. No es lo mismo filtrar una lista de correo comercial que datos de salud o cuentas bancarias.
2. Contén la brecha cuanto antes
Cortar el grifo es la prioridad.
1. Cambia las contraseñas de las cuentas comprometidas y activa la verificación en dos pasos donde no la tengas.
2. Revoca accesos de personas o aplicaciones que ya no deberían tenerlos.
3. Si el problema viene de un proveedor, contacta con él por escrito y pide explicaciones.
4. Si hay un dispositivo perdido, intenta el borrado remoto.
5. Recupera copias de seguridad si algún dato se ha borrado o cifrado, y comprueba que el incidente no se reproduce.
No borres evidencias: los registros, correos o capturas pueden ser necesarios después.
3. Documenta todo desde el minuto uno
Este paso no se hace al final; se hace en paralelo a todo lo demás.
1. Abre un documento con la cronología: qué pasó, cuándo, cómo se detectó y qué has hecho.
2. Guarda pruebas: capturas, registros de acceso, correos.
3. Apunta las medidas adoptadas y quién las tomó.
4. Registra la decisión que tomes sobre notificar o no. Esa decisión debe quedar justificada por escrito.
Aunque al final no notifiques, tener el expediente ordenado demuestra diligencia si alguien pregunta más adelante.
4. Decide si notificas a la AEPD dentro de las 72 horas
Aquí está el paso con más peso legal.
1. Evalúa el riesgo: si la brecha puede afectar a derechos y libertades de las personas (suplantación, fraude, discriminación, daño reputacional), lo normal es notificar.
2. Si notificas, hazlo a través del formulario de la AEPD dentro del plazo de 72 horas desde que tuviste constancia.
3. Si no te da tiempo a tenerlo todo, notifica igualmente y amplía la información después.
4. Si decides no notificar, deja por escrito el motivo.
Notificar tarde o no hacerlo tiene consecuencias: las sanciones del RGPD pueden llegar hasta 20 millones de euros o el 4% de la facturación global anual, lo que sea mayor, en los casos más graves. En pymes las cuantías suelen ser muy inferiores a ese máximo, pero el riesgo existe. Tienes el detalle del proceso en cómo notificar una brecha a la AEPD.
5. Informa a los afectados y saca conclusiones
1. Si el riesgo es alto, comunica la brecha a las personas afectadas: qué ha pasado, qué datos, qué consecuencias y qué pueden hacer.
2. Redacta el aviso en lenguaje claro, sin tecnicismos.
3. Revisa qué falló y corrígelo: contraseñas débiles, permisos excesivos, falta de formación...
4. Valora implantar una herramienta de monitorización continua para enterarte tú primero de una filtración, en vez de depender de que te avise un cliente, un periodista o la propia AEPD.
Esta checklist te sirve para reaccionar bien una vez que ya ha pasado algo. En Alerta Brecha vigilamos de forma continua si los datos de tu empresa (correos, dominios, teléfonos) aparecen en filtraciones conocidas, para que puedas adelantarte a este proceso en vez de improvisarlo. Al estar en fase de acceso anticipado, puedes apuntarte a la lista de espera para conocer los planes disponibles.
---
Recuerda que este artículo tiene un carácter meramente divulgativo y no sustituye el asesoramiento de un profesional legal cualificado. Para resolver dudas concretas sobre tu situación, consulta con un profesional.