Brechas de datos aumentan más de un 100% en 2026
Las notificaciones de brechas de datos aumentan más de un 100% en 2026: ¿Está preparada su empresa?
La Agencia Española de Protección de Datos (AEPD) ha advertido de un incremento superior al 100% en las notificaciones de brechas de datos personales recibidas durante 2026.
A fecha de 1 de septiembre, la Agencia había recibido más de 4.500 comunicaciones. El dato no significa necesariamente que el número real de incidentes se haya duplicado en la misma proporción, ya que también puede reflejar una mayor concienciación y un mejor cumplimiento de la obligación de notificar.
Sin embargo, la cifra confirma algo importante: las brechas de datos ya no son un riesgo excepcional reservado a grandes organizaciones. Cualquier empresa que trate información de clientes, trabajadores, proveedores o usuarios puede sufrir un incidente y debe saber cómo responder.
¿Qué se considera una brecha de datos personales?
Una brecha de datos personales no es únicamente un ciberataque o un robo masivo de información.
También puede producirse cuando:
- Se envía un correo electrónico al destinatario equivocado.
- Se pierde un ordenador, teléfono o dispositivo con información personal.
- Una persona accede a datos sin estar autorizada.
- Se borran o alteran registros accidentalmente.
- Un atacante utiliza credenciales comprometidas.
- Un proveedor tecnológico sufre una intrusión que afecta a los datos de sus clientes.
- Un fallo técnico impide acceder temporalmente a información necesaria.
- Se publica por error documentación que contiene datos personales.
Por tanto, una brecha puede afectar a la confidencialidad, la integridad o la disponibilidad de los datos.
Los proveedores se encuentran en el centro del riesgo
La AEPD ha detectado una concentración de notificaciones procedentes del sector turístico, especialmente por incidentes relacionados con proveedores y plataformas de gestión utilizados por numerosos establecimientos.
Cuando una misma plataforma sufre una brecha, el incidente puede afectar simultáneamente a muchas empresas usuarias. Esto explica que una única vulnerabilidad llegue a generar numerosas notificaciones.
Externalizar un servicio no supone externalizar completamente la responsabilidad. La empresa que contrata una plataforma, un programa de gestión, un servicio en la nube o cualquier otro encargado del tratamiento debe comprobar que ofrece garantías suficientes y establecer contractualmente cómo se comunicarán y gestionarán los incidentes.
No basta con incorporar una cláusula genérica al contrato. Deben estar definidos, entre otros aspectos:
- El canal de comunicación de incidentes.
- El plazo en el que el proveedor debe informar.
- La información mínima que debe facilitar.
- Las personas de contacto y sustitución.
- La colaboración necesaria para analizar el riesgo.
- La conservación de evidencias.
- Las medidas correctivas y el seguimiento posterior.
Si el proveedor tarda en comunicar la incidencia, la empresa puede quedarse sin tiempo suficiente para analizarla y cumplir sus propias obligaciones.
El plazo de 72 horas no se aplica a todas las brechas de la misma manera
El artículo 33 del Reglamento General de Protección de Datos establece que el responsable debe notificar la brecha a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a haber tenido constancia de ella, salvo que sea improbable que el incidente entrañe un riesgo para los derechos y libertades de las personas.
Esto obliga a distinguir tres decisiones:
1. Documentar la brecha
Todas las brechas de datos personales deben quedar documentadas, aunque finalmente no se notifiquen a la AEPD.
El registro debe recoger los hechos, los datos y personas afectados, las consecuencias previsibles, la valoración del riesgo y las medidas adoptadas.
2. Notificar a la AEPD
Debe notificarse cuando sea probable que la brecha suponga un riesgo para los derechos y libertades de las personas afectadas.
La notificación no equivale automáticamente a reconocer una infracción ni implica necesariamente la apertura de un procedimiento sancionador. Al contrario, notificar correctamente y dentro de plazo constituye una evidencia de diligencia y responsabilidad proactiva.
3. Comunicar a las personas afectadas
Cuando sea probable que la brecha entrañe un alto riesgo, el artículo 34 del RGPD exige informar también a las personas afectadas, sin dilación indebida y utilizando un lenguaje claro y sencillo.
Esta comunicación debe permitir que adopten medidas para protegerse, por ejemplo, cambiando contraseñas, bloqueando tarjetas o extremando la precaución ante intentos de fraude o suplantación.
La inteligencia artificial también empieza a utilizarse en los ataques
En septiembre de 2026, la AEPD informó de la primera notificación recibida en la que un agente de inteligencia artificial habría sido utilizado para encadenar distintas fases de un ataque.
Un único caso no permite hablar todavía de una tendencia estadística, pero sí demuestra que los ataques apoyados en inteligencia artificial han dejado de ser un riesgo puramente teórico.
La IA puede facilitar la automatización de tareas, el análisis de vulnerabilidades, la generación de mensajes fraudulentos y la ejecución coordinada de diferentes fases de un ataque. Las organizaciones deben incorporar este escenario a sus análisis de riesgos y a la formación de su personal.
Qué debería revisar ahora cualquier empresa
El aumento de las notificaciones debe servir para comprobar si la organización está realmente preparada. Como mínimo, conviene revisar:
Un procedimiento de gestión de brechas
Debe indicar cómo detectar, comunicar internamente, analizar, contener y documentar un incidente. También debe asignar responsables y establecer quién puede decidir la notificación a la AEPD.
Un canal interno conocido
Los trabajadores tienen que saber a quién avisar si pierden un dispositivo, envían información por error, detectan un acceso extraño o reciben una alerta de seguridad.
Un procedimiento que nadie conoce no protege a la empresa.
Los contratos con proveedores
Debe comprobarse si los encargados del tratamiento están obligados a comunicar cualquier brecha sin dilación indebida y si existe un contacto operativo disponible.
También conviene revisar las garantías de los proveedores de alojamiento, correo electrónico, copias de seguridad, software de gestión, plataformas de recursos humanos y servicios en la nube.
Las medidas de acceso
La autenticación multifactor, las contraseñas robustas, la eliminación de cuentas innecesarias, la revisión de permisos y la limitación de los accesos administrativos reducen considerablemente el riesgo asociado a credenciales comprometidas.
Las copias de seguridad y la restauración
No basta con disponer de copias. Debe comprobarse periódicamente que pueden recuperarse, cuánto tiempo requiere la restauración y qué información podría perderse.
La conservación de registros y evidencias
Los registros de actividad, accesos, modificaciones y comunicaciones pueden ser imprescindibles para determinar qué ha ocurrido, qué datos se han visto afectados y desde cuándo.
La formación del personal
Los errores humanos siguen estando presentes en muchas brechas. La formación debe incluir situaciones reales: correos dirigidos a destinatarios incorrectos, phishing, gestión de contraseñas, uso de dispositivos, intercambio de archivos y comunicación inmediata de incidentes.
La realización de simulacros
Esperar a que se produzca una brecha para comprobar si el procedimiento funciona es demasiado tarde. Un ejercicio práctico permite detectar contactos desactualizados, decisiones que no tienen responsable y proveedores que no responden dentro del tiempo necesario.
El cumplimiento debe poder demostrarse
Tener políticas, contratos o protocolos no es suficiente si la empresa no puede acreditar que se aplican.
La gestión de brechas conecta la protección de datos con la seguridad de la información, la continuidad del negocio, el control de proveedores y la formación de las personas. Marcos como ISO/IEC 27001 pueden ayudar a ordenar estos controles, pero cada organización debe adaptarlos a sus riesgos y tratamientos reales.
La pregunta no es únicamente si una empresa puede sufrir una brecha. La pregunta verdaderamente importante es si será capaz de detectarla, evaluarla y actuar dentro del plazo cuando ocurra.
En Legal Advisors in Compliance ayudamos a las organizaciones a revisar su cumplimiento del RGPD, sus contratos con proveedores y sus procedimientos de gestión de brechas, dejando evidencias que permitan demostrar una actuación diligente.
Consulte nuestro servicio de protección de datos para empresas o acceda a nuestras preguntas frecuentes sobre protección de datos.
Fuentes oficiales
- AEPD: Incremento de las notificaciones de brechas de datos y medidas para prevenirlas y gestionarlas
- AEPD: Notificación de brechas de datos personales a la autoridad de control
- Reglamento General de Protección de Datos, artículos 32, 33 y 34
- AEPD: Primera notificación de una brecha causada por un ataque ejecutado mediante un agente de IA
