La AEPD registró 3.027 notificaciones de brechas de datos en el primer semestre de 2026, un 138% más que en 2025. Qué implica para las organizaciones y cómo actuar conforme al RGPD.
Hay cifras que incomodan precisamente porque no dejan margen para la duda. La Agencia Española de Protección de Datos registró 3.027 notificaciones de brechas de datos personales entre enero y junio de 2026. El mismo periodo del año anterior había dejado 1.271. Eso es un 138% más. Y si extendemos la ventana hasta agosto, el incremento escala hasta el 163%: 4.556 notificaciones frente a 1.728.
Lo más llamativo no es solo el ritmo de crecimiento. Es que el volumen de brechas notificadas en seis meses ya supera al acumulado durante los doce meses de 2025. Una tendencia que, vista desde dentro de cualquier departamento de compliance o de seguridad, debería disparar todas las alarmas.
La pregunta que cabe hacerse no es si esto tiene solución técnica. La tiene. La pregunta es si las organizaciones están organizadas para ejecutarla a tiempo.
Detrás de cualquier estadística de este tipo hay patrones. La AEPD los ha ido identificando mes a mes en sus informes periódicos, y el análisis conjunto arroja tres focos de riesgo que merecen atención específica.
El primero es el ransomware. Sigue siendo uno de los principales desencadenantes de brechas de datos personales, y no discrimina por sector ni por tamaño de organización. Su peligrosidad va más allá del cifrado de sistemas: cuando el ransomware exfiltra información antes de cifrarla —una práctica cada vez más habitual— el daño no es solo operativo. Es una brecha de confidencialidad que activa las obligaciones del RGPD de forma inmediata.
El segundo foco está en los establecimientos hoteleros y sus proveedores de software de gestión de reservas. Durante los meses centrales del año, este sector acumuló un número significativo de notificaciones. El patrón es consistente: terceros no autorizados acceden a datos de clientes —nombre, email, número de reserva, en algunos casos datos de pago— y los utilizan posteriormente para intentos de fraude o phishing dirigido. La víctima directa es el huésped. Pero la responsabilidad recae sobre el establecimiento y sobre su cadena de proveedores tecnológicos.
El problema silencioso del encargado del tratamiento
El tercer vector es quizás el menos visible, pero el que tiene mayor potencial de propagación. Un incidente en un único encargado del tratamiento puede desencadenar brechas simultáneas en decenas o incluso cientos de responsables. Si ese encargado es un proveedor de software que da servicio a múltiples empresas, el efecto es multiplicador.
El RGPD es claro al respecto: el encargado debe informar al responsable sin dilación indebida en cuanto detecte la brecha. No puede esperar a tener certeza absoluta. No puede hacerlo cuando le resulte conveniente. Debe hacerlo con la urgencia que justifica el hecho de que el reloj de las 72 horas empieza a correr desde que el responsable tiene conocimiento del incidente.
Cuántas organizaciones han revisado recientemente sus contratos con encargados para verificar que este mecanismo de alerta está correctamente establecido y operativo. Pocas, probablemente.
El marco normativo es claro desde 2018, pero la práctica demuestra que sigue generando dudas. El artículo 33 del Reglamento General de Protección de Datos establece que toda brecha de datos personales que sea probable que entrañe un riesgo para los derechos y libertades de los afectados debe notificarse a la autoridad de control competente —en España, la AEPD— en un plazo máximo de 72 horas desde que el responsable del tratamiento tenga conocimiento de ella.
Cuando esa notificación no puede hacerse completa en ese plazo, debe realizarse una notificación inicial con la información disponible y completarse posteriormente de forma escalonada. Lo que no está permitido es esperar a tener todo resuelto antes de notificar.
Este punto es donde muchas organizaciones fallan. No por desconocimiento de la norma, sino porque no tienen preparado el procedimiento para ejecutarla bajo presión. Una brecha de seguridad es, por definición, un momento de caos interno. Si los equipos no tienen claro quién activa el protocolo, quién redacta la notificación y quién la envía a la AEPD, las 72 horas se esfuman antes de haber tomado la primera decisión.
El principio de responsabilidad proactiva del RGPD no solo exige que las organizaciones cumplan con sus obligaciones. Exige que puedan demostrarlo. Eso implica tener documentación, procedimientos, registros de tratamiento actualizados y —algo que se subestima con frecuencia— haber realizado ejercicios de simulación de brechas.
Hay otro dato que merece atención. Los responsables que notificaron brechas a la AEPD durante el primer semestre de 2026 emitieron más de 71 millones de comunicaciones a personas afectadas ante la valoración de riesgo alto. Setenta y un millones.
Eso es logística, recursos, reputación y confianza comprometidos a la vez. Y eso solo contabiliza las comunicaciones que se enviaron. No cuantifica el daño reputacional, las reclamaciones posteriores, las investigaciones abiertas ni las sanciones potenciales.
La comunicación a los afectados, cuando el riesgo es alto, no es una formalidad. Es el mecanismo que permite a las personas tomar decisiones informadas: cambiar contraseñas, cancelar tarjetas, estar alerta ante comunicaciones fraudulentas. Cuando esa comunicación llega tarde o no llega, el daño real se amplifica. Y cuando es la AEPD la que informa a los afectados en lugar del propio responsable, el impacto reputacional es de otra magnitud.
Esta situación no es solo un problema de cumplimiento normativo. Es un problema de madurez en gestión de riesgos. Las organizaciones que todavía no tienen implementado un sistema robusto de respuesta a incidentes de seguridad con derivación directa a su protocolo RGPD están operando con una exposición que en 2026 ya no tiene justificación técnica ni estratégica.
Algunas medidas concretas que marca la diferencia entre una respuesta diligente y una crisis gestionada desde el caos:
La minimización de datos no es solo un principio bonito del RGPD. Es una medida de contención de daños. Si los sistemas no almacenan más datos de los estrictamente necesarios, el alcance de cualquier brecha se reduce de forma directa. Las políticas de borrado y anonimización temprana de datos, el bloqueo de accesos innecesarios y la segmentación de redes son controles técnicos con impacto real en la gestión de brechas.
La revisión de contratos con encargados del tratamiento es una tarea pendiente en muchas organizaciones. Ese contrato debe especificar con precisión los plazos y canales de notificación ante incidentes, las responsabilidades en materia de seguridad y los mecanismos de auditoría. No es burocracia: es la arquitectura jurídica que determina quién responde y cuándo cuando algo falla.
La preparación para la gestión de brechas requiere ir más allá de tener un procedimiento escrito. Implica haber practicado ese procedimiento, haber identificado los roles y haber verificado que los canales de comunicación con la AEPD funcionan. Muchas organizaciones descubren que su procedimiento tiene lagunas críticas la primera vez que intentan ejecutarlo en condiciones reales.
Finalmente, la evaluación del riesgo no puede hacerse en el momento de la brecha. Debe estar hecha de antemano, como parte de una Evaluación de Impacto en Protección de Datos o de un análisis de riesgos continuo. Sin esa base, la decisión de notificar o no notificar, de comunicar o no comunicar a los afectados, se convierte en una improvisación que puede costar caro.
El aumento del 138% en notificaciones no es una señal de que las organizaciones estén cumpliendo mejor con sus obligaciones. Es una señal de que los incidentes se están multiplicando y de que la presión regulatoria está forzando a muchas empresas a notificar situaciones que antes simplemente no gestionaban con el rigor necesario. Las que saldrán mejor paradas son las que ya tienen los sistemas, los procedimientos y la formación en su lugar antes de que el incidente ocurra.
¿Tu organización está realmente preparada para gestionar una brecha de datos en tiempo real? En INTEDYA ayudamos a empresas de todos los sectores a diseñar e implementar sistemas de gestión de seguridad de la información y protección de datos que cumplen con el RGPD y resisten la presión de los incidentes reales. Contacta con nuestros especialistas y evalúa el nivel de madurez de tu organización antes de que la AEPD llame a tu puerta.
En Intedya acompañamos a organizaciones de todos los tamaños en más de 20 países. Consultoría especializada en Cybersecurity Solutions, con resultados medibles y evidencias ante cualquier fiscalización.
Solicitar información sin compromiso →
