Te llega un aviso: los datos de tu empresa han aparecido en una filtración. Es viernes por la tarde, hay trabajo acumulado y la tentación de dejarlo para la semana que viene es real. ¿Qué pasa exactamente si decides ignorarlo, aunque sea "solo unos días"? Vamos a verlo sin dramatizar, pero sin suavizarlo tampoco.
El reloj de las 72 horas no espera a que tú reacciones
El plazo legal para notificar una brecha a la AEPD es de 72 horas desde que tienes constancia del incidente, no desde que decides ocuparte de él. Si recibes una alerta y la dejas sin leer una semana, ese plazo ya ha pasado cuando por fin la abres. No reaccionar a tiempo no detiene el reloj: simplemente hace que, si la brecha era de las que había que notificar, ya llegues tarde antes de empezar.
Esto no significa que toda alerta implique una obligación de notificar. El primer paso siempre es evaluar qué ha pasado y si hay riesgo real para los derechos de las personas afectadas. Pero esa evaluación hay que hacerla rápido, no cuando haya un hueco en la agenda.
Las consecuencias no esperan a que te pille la AEPD
Ignorar una alerta no es solo un riesgo "legal y lejano". Mientras tú no haces nada, los datos que se han filtrado siguen circulando: pueden usarse para suplantar tu identidad o la de tus clientes, para lanzar campañas de phishing muy creíbles usando tu nombre, o para acceder a otras cuentas si alguien reutiliza contraseñas. Cuanto más tiempo pasa sin que actúes, más oportunidad tienen de explotarse esos datos.
Si la filtración incluye datos de clientes, también hay un coste de confianza que no sale en ninguna sanción oficial: un cliente que descubre por su cuenta que sus datos circulaban desde hace semanas, y que tu empresa lo sabía y no dijo nada, no vuelve a confiar igual.
Qué pasa si la AEPD se entera antes que tú actúes
Aquí está la parte que más suele sorprender: no notificar a tiempo puede sancionarse de forma independiente de la sanción por la brecha en sí. Es decir, puedes acabar con dos problemas en vez de uno: el derivado del incidente y el derivado de no haberlo gestionado dentro de plazo. Las sanciones del RGPD pueden alcanzar, en los casos más graves, hasta 20 millones de euros o el 4% de la facturación global anual, aunque en la práctica las cuantías para pymes suelen quedar muy por debajo de ese máximo. Tienes el detalle completo, con ejemplos y factores que agravan la sanción, en nuestro artículo sobre la multa por no notificar una brecha de datos.
Y no hace falta que sea la AEPD quien detecte el silencio: a veces es un cliente afectado el que presenta una reclamación al ver que nadie le avisó, y ese es precisamente el tipo de caso que suele acabar peor.
Qué hacer en cambio, sin agobiarte
Lo contrario de ignorar una alerta no es resolverlo todo en una tarde: es tener un procedimiento mínimo para no dejarlo pasar. Anota la fecha en que recibes el aviso, evalúa el riesgo con calma pero sin demorarte días, y decide con esa información si toca notificar. Tenemos una checklist con los pasos concretos para esas primeras horas en qué hacer en las primeras 72 horas tras detectar una brecha de seguridad.
Si lo que te falta es precisamente enterarte a tiempo, en Alerta Brecha vigilamos de forma continua si los datos de tu empresa aparecen en filtraciones conocidas, con un Plan Básico (9€/mes, monitorización semanal) y un Plan Profesional (14,50€/mes el primer año, 29€/mes después, con alerta inmediata y PDF precargado para la AEPD). Estamos en fase de acceso anticipado, con lista de espera abierta.
---
Recuerda que este artículo tiene un carácter meramente divulgativo y no sustituye el asesoramiento de un profesional legal cualificado. Para resolver dudas concretas sobre tu situación, consulta con un profesional.