Chégache un aviso: os datos da túa empresa apareceron nunha filtración. É venres pola tarde, hai traballo acumulado e a tentación de deixalo para a semana que vén é real. Que pasa exactamente se decides ignoralo, aínda que sexa "só uns días"? Imos velo sen dramatizar, pero sen suavizalo tampouco.
O reloxo das 72 horas non espera a que ti reacciones
O prazo legal para notificar unha brecha á AEPD é de 72 horas desde que tes constancia, non desde que decides ocuparte del. Se recibes unha alerta e a deixas sen ler unha semana, ese prazo xa pasou cando por fin a abres. Non reaccionar a tempo non detén o reloxo: simplemente fai que, se a brecha era das que había que notificar, xa chegues tarde antes de empezar.
Isto non significa que toda alerta implique unha obriga de notificar. O primeiro paso é sempre avaliar que pasou e se hai risco real para os dereitos das persoas afectadas. Pero esa avaliación hai que facela rápido, non cando haxa un oco na axenda.
As consecuencias non esperan a que te pille a AEPD
Ignorar unha alerta non é só un risco "legal e afastado". Mentres ti non fas nada, os datos que se filtraron seguen circulando: poden usarse para suplantar a túa identidade ou a dos teus clientes, para lanzar campañas de phishing moi críbeis usando o teu nome, ou para acceder a outras contas se alguén reutiliza contrasinais. Canto máis tempo pasa sen que actúes, máis oportunidade teñen de explotarse eses datos.
Se a filtración inclúe datos de clientes, tamén hai un custo de confianza que non sae en ningunha sanción oficial: un cliente que descobre por conta propia que os seus datos circulaban desde hai semanas, e que a túa empresa o sabía e non dixo nada, non volve confiar igual.
Que pasa se a AEPD se decata antes de que ti actúes
Aquí está a parte que máis adoita sorprender: non notificar a tempo pódese sancionar de forma independente da sanción pola brecha en si. É dicir, podes acabar con dous problemas en vez dun: o derivado do incidente e o derivado de non telo xestionado en prazo. As sancións do RGPD poden alcanzar, nos casos máis graves, ata 20 millóns de euros ou o 4% da facturación global anual, aínda que na práctica as contías para pemes adoitan quedar moi por debaixo dese máximo. Tes o detalle completo, con exemplos e factores que agravan a sanción, no noso artigo sobre a multa por non notificar unha brecha de datos.
E non fai falta que sexa a AEPD quen detecte o silencio: ás veces é un cliente afectado quen presenta unha reclamación ao ver que ninguén o avisou, e ese é precisamente o tipo de caso que adoita acabar peor.
Que facer no seu lugar, sen agobiarte
O contrario de ignorar unha alerta non é resolvelo todo nunha tarde: é ter un procedemento mínimo para non deixalo pasar. Anota a data en que recibes o aviso, avalía o risco con calma pero sen demorarte días, e decide con esa información se toca notificar. Temos unha checklist cos pasos concretos para esas primeiras horas en que facer nas primeiras 72 horas tras detectar unha brecha de seguridade.
Se o que che falta é precisamente decatarte a tempo, en Alerta Brecha vixiamos de forma continua se os datos da túa empresa aparecen en filtracións coñecidas, cun Plan Básico (9€/mes, monitorización semanal) e un Plan Profesional (14,50€/mes o primeiro ano, 29€/mes despois, con alerta inmediata e PDF precargado para a AEPD). Estamos en fase de acceso anticipado, con lista de espera aberta.
---
Lembra que este artigo ten un carácter meramente divulgativo e non substitúe o asesoramento dun profesional legal cualificado. Para resolver dúbidas concretas sobre a túa situación, consulta cun profesional.