En resumen: si en un ataque se vulnera la protección de datos personales, el art. 33 del RGPD exige una notificación a la autoridad de control, si es posible en un plazo de 72 horas desde que se tiene conocimiento, siempre que exista un riesgo para los afectados. Cuando el riesgo es alto, según el art. 34 se añade la comunicación a los afectados. Con independencia de ello, debe documentar toda violación. Esta página es información general y no constituye asesoramiento jurídico.
No es asesoramiento jurídico: si existe obligación de notificar en el caso concreto, y desde cuándo, lo valoran su delegado de protección de datos o un abogado. Nosotros aportamos los hechos técnicos en los que se apoya esa valoración.
Brecha de datos y notificación en 72 horas: qué regula el art. 33
El art. 33 del RGPD se refiere a la «violación de la seguridad de los datos personales». Se entiende por tal toda violación de la seguridad que ocasione la destrucción, la pérdida, la alteración, la comunicación no autorizada o el acceso no autorizado a datos personales. Un servidor web comprometido con base de datos de clientes, formularios de contacto o datos de candidatos puede encajar en ello.
La notificación a la autoridad de control debe hacerse sin dilación indebida y, si es posible, en un plazo de 72 horas desde que el responsable tuvo conocimiento de la violación. No es necesaria si es improbable que la violación entrañe un riesgo para los derechos y las libertades de las personas físicas. Quien notifique pasadas las 72 horas debe justificar el retraso. La información puede facilitarse por fases.
Qué debe contener una notificación
El art. 33, apartado 3, del RGPD establece contenidos mínimos. Debería preparar estos puntos aunque todavía no esté todo claro:
- naturaleza de la violación, si es posible con las categorías y el número aproximado de personas y registros afectados
- nombre y datos de contacto del delegado de protección de datos o de otro punto de contacto
- posibles consecuencias de la violación
- medidas adoptadas o propuestas para poner remedio y para mitigar los posibles efectos negativos
Justo en los ataques a servidores web, el alcance suele estar poco claro al principio. Entonces ayuda una primera notificación sincera con la información conocida y el anuncio de que se facilitarán más datos más adelante.
¿Cuándo empieza el plazo tras un ataque al servidor?
El plazo se vincula al conocimiento, no al momento del ataque. En la práctica, la delimitación suele ser difícil: un aviso sobre una vulnerabilidad como PHP2Shell no supone por sí solo conocer una violación de la protección de datos. Pero si encuentra indicios concretos de una intrusión, por ejemplo una webshell o consultas sospechosas a la base de datos, la situación puede ser distinta.
Por eso documente desde el principio, con la hora, quién recibió qué información y cuándo, y qué pasos siguieron. Esta cronología ayuda en la valoración jurídica y ante las preguntas de la autoridad. Una investigación técnica cuidadosa, por ejemplo mediante análisis forense informático, aclara si se vieron afectados datos y cuáles.
Comunicación a los afectados según el art. 34
Si es probable que la violación entrañe un alto riesgo para los derechos y las libertades de las personas, también hay que comunicarla sin dilación indebida a los afectados. Puede ocurrir, por ejemplo, con credenciales de acceso, datos bancarios o datos de salud. La comunicación debe describir en un lenguaje claro y sencillo lo que ha ocurrido y mencionar como mínimo el punto de contacto, las posibles consecuencias y las medidas adoptadas.
El art. 34 prevé excepciones, por ejemplo cuando los datos se hayan hecho ininteligibles para personas no autorizadas, como mediante cifrado. Si comunicar la violación a cada persona supusiera un esfuerzo desproporcionado, puede considerarse en su lugar una comunicación pública o una medida semejante igualmente eficaz. Si se aplica una excepción forma parte de la valoración jurídica. Cómo informar a los clientes de forma comprensible se describe en Comunicación de crisis tras un ataque.
Obligación de documentación según el art. 33, apartado 5
Con independencia de la obligación de notificar, el art. 33, apartado 5, del RGPD exige documentar toda violación: los hechos, sus efectos y las medidas correctoras adoptadas. Esta documentación debe permitir a la autoridad de control verificar el cumplimiento. Esto vale también si, tras examinarlo, concluye que no es necesaria ninguna notificación.
Para los servidores web esto significa en la práctica: conservar los registros antes de que se roten, anotar los hallazgos con su momento y registrar las decisiones y su justificación. En el caso de PHP2Shell, la prensa especializada recomienda conservar los registros del servidor desde el 20/10/2026. Además, un parche no elimina el software malicioso ya introducido ni demuestra que antes no haya pasado nada.
Procedimiento práctico en las primeras horas
- Comunicar internamente la sospecha a un punto fijo e implicar al delegado de protección de datos.
- Asegurar las pruebas: registros, listas de archivos, extractos de la base de datos, antes de borrar o reinstalar nada.
- Aclarar técnicamente si pueden estar afectados datos personales.
- Valoración jurídica de la obligación de notificar y de comunicar, en su caso con abogado y aseguradora.
- Notificación mediante el formulario de la autoridad de control competente, con complementos cuando haya nuevos datos.
Un plan de emergencia informática preparado acorta estos pasos de forma notable.
¿Cómo ayuda PHP SOS en concreto?
- Conservamos los registros y los estados del sistema de modo que sigan siendo utilizables para la valoración y para una revisión posterior.
- Aclaramos técnicamente si había datos accesibles y cuáles, y entregamos un resumen comprensible para delegados de protección de datos y abogados.
- Llevamos una cronología de los hallazgos técnicos que usted puede utilizar para la notificación y la documentación.
- Ante una intrusión confirmada asumimos la respuesta a incidentes y la limpieza.
Preguntas frecuentes
¿Desde cuándo corren las 72 horas?
Según el art. 33 del RGPD, desde el momento en que el responsable ha tenido conocimiento de la violación. Cuándo debe entenderse así en el caso concreto es una valoración jurídica. Por eso documente con exactitud cuándo tuvo quién qué información.
¿Hay que notificar cada vulnerabilidad de seguridad?
No. Una vulnerabilidad por sí sola todavía no es una violación de la seguridad de los datos personales. La notificación puede ser obligatoria cuando hay indicios de que personas no autorizadas tuvieron o pudieron tener acceso a esos datos y de ello resulta un riesgo para los afectados.
¿Y si pasadas las 72 horas todavía no lo sé todo?
El art. 33, apartado 4, del RGPD permite facilitar la información por fases cuando no sea posible facilitarla toda al mismo tiempo. Una notificación tardía debe justificarse. Esperar a tener total claridad no es, por tanto, por lo general, motivo para dejar pasar el plazo.
¿Quién notifica si se vio afectado el proveedor de hosting?
Está obligado a notificar el responsable del tratamiento, es decir, por lo general la empresa que opera el sitio web. Un encargado del tratamiento, como el proveedor de hosting, debe informar sin dilación al responsable según el art. 33, apartado 2, del RGPD.
¿Dónde notifico una brecha de datos?
A la autoridad de control de protección de datos competente; para las empresas, normalmente la del Estado miembro (en Alemania, la del estado federado) en el que tienen su sede. La mayoría de las autoridades ofrecen formularios en línea para ello.