[...] actuó de forma diligente en el cumplimiento de las obligaciones que ante una brecha de seguridad se le imponen
Fase 0 · Antes de que ocurra nada
0.1. Tenga el protocolo por escrito, aprobado y fechado
Un protocolo que solo existe en la cabeza de dos personas no es un protocolo: es un recuerdo. Debe estar escrito, aprobado por quien tenga competencia para hacerlo y con fecha visible. Qué deja documentado: el documento aprobado, la fecha de aprobación, quién lo aprobó y el historial de versiones. (Regla A · SAP Madrid 371/2023, de 28 de julio)
0.2. Deje nombrado por escrito quién activa el protocolo y quién decide
Con nombre y suplente. La duda sobre quién manda cuesta horas, y las horas se cuentan. Qué deja documentado: la designación nominal, con fecha, y la constancia de que los designados la conocen. (Regla D · SAP Asturias 412/2024, de 3 de octubre)
0.3. Tenga identificado, tratamiento por tratamiento, quién es responsable y quién encargado
Las obligaciones de seguridad solo se imputan a quien es responsable o encargado del tratamiento. Saber en qué posición está usted respecto de cada proveedor decide quién responde cuando llega la reclamación. Qué deja documentado: el mapa de tratamientos y proveedores, y el contrato de encargo del artículo 28 RGPD firmado con cada uno. (Regla B · SAP Madrid 371/2023, de 28 de julio)
Hora 0 a 1 · Detección y activación
1. Anote la hora exacta de la detección y quién detectó
El reloj de las setenta y dos horas empieza cuando usted tiene conocimiento del incidente, no cuando decide reaccionar. Ese instante debe quedar fijado por escrito el mismo día, no reconstruido después. Quién decide: nadie; se anota. Qué deja documentado: fecha y hora de la detección, persona que detectó, medio por el que se detectó y a quién avisó. (Regla D · SAP Asturias 412/2024, de 3 de octubre)
2. Active el protocolo y deje constancia de la activación
La activación es en sí misma un acto de diligencia: pruébela. Quién decide: la persona designada en el punto 0.2. Qué deja documentado: hora de la activación, quién la ordenó, a quién se convocó y por qué medio. (Regla A · SAP Madrid 371/2023, de 28 de julio)
3. Abra el expediente del incidente y numérelo
Un único expediente, con un único responsable de custodia, donde entre todo: correos, actas, capturas, comunicaciones y decisiones. Lo que se dispersa en carpetas personales no se puede aportar a un juicio. Quién decide: el responsable designado. Qué deja documentado: el índice del expediente desde el primer minuto, con la persona que lo custodia. (Regla D · SAP Madrid 123/2026)
Hora 1 a 6 · Contención y primeras decisiones
4. Decida las medidas de contención y motívelas por escrito
Importa tanto lo que hizo como lo que valoró y descartó, y por qué. Una decisión motivada, aunque después resulte mejorable, se defiende; una decisión sin rastro, no. Quién decide: dirección, con el criterio técnico que corresponda. Qué deja documentado: acta breve con hora, opciones consideradas, medida adoptada, motivo y persona que decidió. (Regla A · SAP Madrid 371/2023, de 28 de julio)
5. Preserve la información del incidente antes de tocar nada
Los registros de acceso y las comunicaciones de esas primeras horas son, más tarde, su prueba. Consérvelos íntegros y anote quién los recogió y cuándo. Quién decide: el responsable del expediente. Qué deja documentado: qué se conservó, en qué fecha, quién lo hizo y dónde se guarda. (Regla D · SAP Asturias 412/2024, de 3 de octubre)
6. Avise por escrito a los proveedores implicados y pídales su versión
Si el incidente ocurre en casa de un encargado del tratamiento, el contrato del artículo 28 le obliga a asistirle y a informarle sin dilación. Reclámelo por escrito, aunque le hayan llamado por teléfono. Quién decide: el responsable del expediente. Qué deja documentado: la comunicación enviada con su fecha, la respuesta recibida y el contrato de encargo aplicable. (Regla B · SAP Madrid 371/2023, de 28 de julio)
7. Documente las medidas que ya existían sobre los datos afectados
Los tribunales valoran en concreto, caso por caso, y han considerado suficientes medidas modestas cuando estaban acreditadas: un fichero protegido por contraseña conocida solo por dos personas fue bastante para absolver. Reúna ahora la prueba de qué protección tenían los datos afectados antes del incidente. Qué deja documentado: el inventario fechado de medidas aplicables a esos datos y quién tenía acceso a ellos. (Regla A · SAP Madrid 371/2023, de 28 de julio)
[...] la entrega de los datos [...] se realizaba mediante un fichero Excel codificado con contraseña que únicamente conocían el Presidente y Secretario de la Comisión
Hora 6 a 24 · Valoración del riesgo
8. Determine qué datos se han visto afectados y a cuántas personas
Sin ese perímetro no puede valorar el riesgo ni redactar una notificación. Si en las primeras horas solo tiene una estimación, hágala constar como estimación y anote la hora en que se cerró la cifra definitiva. Quién decide: el responsable del expediente. Qué deja documentado: categorías de datos, número aproximado de personas, y la evolución del dato con sus horas. (Regla D · SAP Asturias 412/2024, de 3 de octubre)
9. Valore el riesgo para las personas y motive la decisión de notificar o no
La decisión de no notificar es tan legítima como la contraria, siempre que esté motivada y fechada. Lo indefendible es no haber decidido. Quién decide: dirección, con el criterio jurídico que corresponda. Qué deja documentado: el análisis del riesgo, la conclusión, la fecha, la hora y la firma de quien decidió. (Regla D · SAP Madrid 123/2026)
10. Compruebe si los datos afectados eran exactos y estaban actualizados
Una brecha suele destapar datos que ya no debían estar ahí, o que estaban mal. El principio de exactitud obliga a suprimirlos o rectificarlos sin dilación, y esa obligación no espera al cierre del incidente. Qué deja documentado: la comprobación realizada, qué se corrigió, en qué fecha y quién lo hizo. (Regla E · SAP Asturias 412/2024, de 3 de octubre)
Conforme al artículo 5.1.d) RGPD, los datos serán exactos y, si fuere necesario, actualizados, lo que obliga a los responsables del tratamiento a adoptar todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos inexactos
Hora 24 a 72 · Comunicaciones
11. Notifique a la autoridad de control dentro de plazo y guarde el justificante
El justificante de presentación, con su fecha y hora, es la prueba de que cumplió. Guárdelo en el expediente, no en el correo de quien lo presentó. Quién decide: dirección. Qué deja documentado: el formulario presentado, el justificante y la persona que lo presentó. (Regla D · SAP Asturias 412/2024, de 3 de octubre)
12. Si notifica fuera de plazo o por fases, explique el motivo por escrito
El retraso admite justificación; el silencio, no. Qué deja documentado: la razón del retraso o del envío por fases, con las fechas de cada entrega. (Regla D · SAP Madrid 123/2026)
13. Si procede, comunique a las personas afectadas y conserve el texto exacto
Conserve el texto íntegro que se envió, la lista de destinatarios, la fecha y el canal. Meses después nadie recordará qué se dijo exactamente, y esa redacción se leerá en sala. Quién decide: dirección. Qué deja documentado: texto, fecha, canal, número de destinatarios y evidencia del envío. (Regla A · SAP Madrid 371/2023, de 28 de julio)
14. Verifique la identidad de quien le reclame o le pida datos a raíz del incidente
Tras una brecha proliferan las suplantaciones. La culpa del responsable se presume, y para exonerarse hay que acreditar la diligencia empleada, incluida la que se opone a una suplantación de identidad. Qué deja documentado: qué comprobación de identidad hizo, con qué documento y quién la realizó. (Regla C · SAP Madrid 273/2024)
A partir de la hora 72 · Los derechos y el cierre
15. Prepare la vía para atender las solicitudes de supresión y demás derechos
El procedimiento debe ser sencillo y gratuito, y usted debe resolver de forma expresa incluso cuando no tenga datos del solicitante. El plazo es de un mes, prorrogable dos meses más solo por complejidad y comunicando la prórroga dentro del primer mes. Qué deja documentado: la fecha de entrada de cada solicitud, la respuesta expresa, la fecha de salida y, en su caso, la comunicación de la prórroga. (Regla F · SAP Barcelona 307/2023 · SAP Alicante 33/2024)
El responsable del tratamiento está obligado a conceder al interesado un procedimiento sencillo y gratuito para atender el ejercicio de estos derechos.
16. Suprima o rectifique sin dilación lo que haya quedado inexacto
Y pruebe la fecha en que lo hizo. Un tratamiento inicialmente lícito puede dejar de serlo por el mero transcurso del tiempo. Qué deja documentado: qué se suprimió o rectificó, cuándo, a instancia de quién y quién lo ejecutó. (Regla E · SAP Asturias 412/2024, de 3 de octubre · SAP Alicante 33/2024)
17. Cierre el expediente con índice, fechas y responsable de custodia
El cierre es el momento en que el expediente pasa de ser una carpeta de trabajo a ser un medio de prueba. Debe poder entregarse completo, ordenado y fechado, sin depender de que sigan en la empresa las personas que lo vivieron. Qué deja documentado: el índice definitivo, la fecha de cierre, el responsable de custodia y el plazo de conservación. (Regla D · SAP Asturias 412/2024, de 3 de octubre)
18. Revise el protocolo a la luz de lo ocurrido y deje constancia de la revisión
Una revisión fechada tras el incidente es una de las pruebas de diligencia más elocuentes que puede aportar. Qué deja documentado: qué se cambió, por qué, quién lo aprobó y en qué fecha. (Regla A · SAP Madrid 371/2023, de 28 de julio)
Quién decide qué
- Dirección: activar el protocolo, adoptar las medidas de contención, decidir si se notifica y aprobar el texto de las comunicaciones.
- Responsable del expediente: abrir y custodiar el expediente, fechar cada entrada, reclamar a los proveedores y cerrar el expediente.
- Asesoría jurídica: valorar el riesgo para las personas, redactar y revisar las comunicaciones y atender el ejercicio de derechos.
- Nadie, por su cuenta: borrar registros, contestar a un afectado sin dejar copia o pactar de palabra con un proveedor.
Cómo usar este protocolo
- Imprímalo y téngalo accesible fuera de sus sistemas: el día que lo necesite quizá no pueda abrirlo desde dentro.
- Anote la hora de cada paso mientras ocurre. Lo reconstruido después vale mucho menos que lo apuntado en el momento.
- No espere a tener certezas para documentar: haga constar lo que sabe y lo que todavía no, con la hora de cada cierre de información.
- Repáselo una vez al año y tras cada incidente, y deje constancia fechada de esa revisión.
Modelo orientativo. No sustituye el asesoramiento jurídico. Lea la declaración de no asesoramiento. © ILP Abogados — www.ilpabogados.com
¿Tiene quién descuelgue el teléfono en la hora 1?
La guardia de 72 horas de ILP Abogados acompaña a su empresa desde la detección hasta el cierre del expediente, cuidando en cada paso que quede la prueba que después le va a hacer falta.
Ver la guardia de 72 horas