Qué hacer ante una
brecha de seguridad
Un incidente puede ocurrir incluso tomando todas las precauciones. Lo que marca la diferencia es saber cómo actuar — rápido y en el orden correcto.
Detectar y contener el incidente
En cuanto detectes o sospeches que ha habido un acceso indebido, pérdida de datos o cualquier anomalía, el primer objetivo es frenar el daño. No esperes a tener toda la información para actuar.
Desconecta del sistema o red el dispositivo afectado si crees que hay un acceso activo.
Cambia inmediatamente las contraseñas de las cuentas comprometidas o sospechosas.
Identifica qué datos pueden haberse visto afectados y desde cuándo.
No elimines ni modifiques nada hasta que hayas documentado el estado del incidente.
Evaluar el riesgo
Una vez contenido el incidente, evalúa su alcance y consecuencias. Esto determina si debes notificar a la AEPD y si tienes que informar a los pacientes afectados.
¿Qué tipo de datos están afectados? (clínicos, identificativos, bancarios…)
¿Cuántos pacientes se ven afectados y quiénes son?
¿Qué consecuencias puede tener para ellos? (discriminación, daño reputacional, riesgo físico…)
¿Fue un error interno o un ataque externo? ¿Sigue activo?
Notificar a la Agencia Española de Protección de Datos
Si la brecha puede suponer un riesgo para los derechos y libertades de las personas afectadas, estás obligado a notificarlo a la AEPD en un plazo máximo de 72 horas desde que tienes constancia del incidente. No desde que ocurrió — desde que lo descubres.
Si no tienes todos los datos en 72h, notifica con la información disponible y completa después.
La notificación tardía o la omisión puede conllevar sanciones económicas significativas.
No todas las brechas requieren notificación — solo las que supongan riesgo. En caso de duda, consulta con tu DPD o con la AEPD.
Informar a los afectados
Cuando la brecha pueda entrañar un alto riesgo para los derechos y libertades de los pacientes afectados, debes comunicárselo directamente — sin dilación indebida.
Informa a los afectados de forma clara, en lenguaje comprensible y sin tecnicismos.
Explica qué ocurrió, qué datos se vieron afectados y qué medidas has tomado.
Indica qué pueden hacer ellos para protegerse (cambiar contraseñas, estar alerta ante comunicaciones sospechosas).
Facilita un punto de contacto para resolver sus dudas.
Documentar el incidente
Independientemente de si debes notificar o no, todo incidente de seguridad debe quedar registrado. Es una obligación legal que te permite demostrar ante la AEPD que actuaste correctamente.
Qué ocurrió: descripción detallada del incidente, causa y cronología.
Datos afectados: categorías, volumen y tipología de personas afectadas.
Medidas adoptadas: acciones de contención, notificaciones realizadas y fechas.
Consecuencias: impacto real o probable del incidente sobre los afectados.
