Qué mira realmente un tribunal español después de una brecha de seguridad

Cuando una empresa sufre una brecha de seguridad, la primera pregunta del consejo siempre es la misma: cómo entraron. Es una pregunta legítima, pero no es la que decide el resultado económico del episodio. La que lo decide llega meses después, la formula un juzgado y suena muy distinta: enséñeme qué hacía usted el día anterior.

El ataque no es el final del problema: es el principio

El incidente se contiene en días. La reparación se cierra en semanas. Las reclamaciones duran años. Y no llegan de una en una: llegan en serie. Si usted custodia datos de decenas de miles de personas, cada una de ellas es un reclamante potencial en cuanto el episodio se hace público.

Ese mecanismo no es una hipótesis: en España ya se vio con los ficheros de morosidad. Los mismos despachos que industrializaron aquellas reclamaciones conocen el camino, tienen la maquinaria montada y saben captar afectados en masa. Lo que cambia ahora es el origen del daño, no el modelo de negocio de quien reclama.

El empresario se encuentra entonces con tres frentes abiertos a la vez, y con un reloj corriendo en cada uno: la notificación a la Agencia Española de Protección de Datos, la comunicación a los afectados y la ola posterior de reclamaciones. Los tres exigen decisiones en horas, no en semanas. Y las tres decisiones dejan rastro. Ese rastro es exactamente lo que después leerá un juez.

La conclusión práctica es incómoda pero útil: el daño del ataque es solo el primer coste. El segundo, casi siempre mayor y siempre más largo, es perder los pleitos que el ataque genera. Y ese segundo coste, a diferencia del primero, sí depende de usted.

La trampa del artículo 82.3: usted parte condenado

En un pleito civil ordinario, quien reclama tiene que probar lo que afirma. En protección de datos, no. El artículo 82.3 del Reglamento General de Protección de Datos invierte la carga: la culpa del responsable se presume, y para exonerarse es él quien debe acreditar que empleó las medidas de diligencia adecuadas para evitar la infracción.

La Audiencia Provincial de Madrid lo ha aplicado así en su sentencia 273/2024: para que el tratamiento no genere responsabilidad, el responsable debe demostrar que empleó medidas de diligencia debida adecuadas para evitar infracciones, incluidas las derivadas de una suplantación de identidad. Mientras no lo acredite, la culpa se presume. La misma resolución recuerda además que tratar datos inexactos que induzcan a error sobre la situación del interesado vulnera la normativa.

Traducido a la mesa del consejo: usted entra en la sala de vistas condenado, y sale absuelto solo si consigue demostrar algo. No basta con haber sido diligente. Tiene que poder enseñarlo, con documentos, y en un plazo que no le va a dar tiempo a fabricarlos.

Aquí es donde se rompe la mayoría de las empresas medianas españolas. No es que no tengan medidas de protección: normalmente las tienen, y son razonables. Es que no tienen el expediente que las documenta. Cuando el abogado pide la prueba, aparecen un correo suelto, la factura de un proveedor y el recuerdo de una reunión. Eso no es prueba. Es un relato.

Y hay un agravante silencioso: todo lo que usted implante después del incidente juega en su contra. Un tribunal lo leerá como reacción, no como diligencia previa. Las medidas cuentan por lo que puede acreditar que ya existían, no por lo que ahora demuestre que sabe hacer.

La buena noticia es contraintuitiva: no le exigen infalibilidad

El mercado le vende protección total. Los tribunales no la exigen. La diligencia ante una brecha se valora en concreto, caso por caso, atendiendo a lo que la empresa hizo y pudo acreditar, no frente a un estándar abstracto de invulnerabilidad que nadie cumple.

La Sentencia de la Audiencia Provincial de Madrid 371/2023, de 28 de julio, absolvió al demandado precisamente por eso:

Conviene detenerse en qué medida se consideró suficiente en aquel caso. No un despliegue extraordinario ni una inversión fuera del alcance de una empresa mediana: un fichero protegido por contraseña, con el acceso limitado a dos personas.

El mensaje para quien firma es doble, y es liberador. Primero: el listón de la medida es razonable, y es muy probable que usted ya lo cumpla. Segundo: el listón que de verdad decide es el de la prueba, y es muy probable que usted no lo cumpla. Lo que le separa de una absolución no es una inversión mayor. Es un expediente ordenado.

Las cinco preguntas que decidirán el pleito

Estas son las cinco preguntas que, en la práctica, resuelven el caso. Van ordenadas por consecuencia de negocio; el fundamento jurídico viene después, porque es lo segundo que importa.

1. ¿Puede acreditar, con fecha, qué medidas tenía el día anterior?

Consecuencia. Si no puede fechar sus medidas, no podrá alegarlas. Perderá el argumento más barato que tiene, y lo perderá sin discutirlo siquiera: no habrá nada que discutir.

Fundamento. Las obligaciones de seguridad del artículo 32 se valoran por la actuación diligente del responsable frente a la brecha, y así lo hizo la SAP Madrid 371/2023, de 28 de julio, al absolver. Un inventario fechado de medidas es la forma normal de acreditar esa actuación.

2. ¿Podría entregar hoy la prueba de su diligencia sin reconstruir nada?

Consecuencia. Reconstruir a posteriori casi siempre deja huecos, y los huecos se ven. A la parte contraria le basta con señalar una fecha que no se sostiene para que todo el conjunto pierda credibilidad, incluida la parte que sí era cierta.

Fundamento. Como la culpa se presume (SAP Madrid 273/2024, art. 82.3 RGPD), la única posición defendible es tener el expediente cerrado antes de necesitarlo. Después ya no se construye prueba: se construye sospecha.

3. ¿Está por escrito quién decide, y registrada la formación que dio?

Consecuencia. Con el reloj de las setenta y dos horas en marcha, improvisar quién decide es lo que hace perder el plazo. Y una formación que no se documenta, ante el juez, equivale a no haberla dado nunca.

Fundamento. El principio de responsabilidad proactiva no exige solo cumplir: exige ser capaz de demostrarlo. Lo recuerda la Sentencia de la Audiencia Provincial de Asturias 412/2024, de 3 de octubre:

4. ¿Corrige los datos inexactos dejando constancia de cuándo y por qué?

Consecuencia. Una brecha destapa la calidad real de sus datos. Si un afectado demuestra que usted mantenía información equivocada sobre él, ya no discute solo la brecha: discute también el tratamiento, y añade un motivo independiente de reclamación al que ya tenía.

Fundamento. El principio de exactitud obliga a actuar sin dilación, y quien tiene que probar que actuó a tiempo es usted:

5. ¿Registra las solicitudes de supresión y la respuesta que da a cada una?

Consecuencia. Tras un episodio público, las solicitudes de supresión llegan en oleada, y muchas veces las manda el mismo despacho que después reclamará. Cada solicitud que no pueda acreditar que contestó en plazo se convierte en una reclamación autónoma que se suma a la principal.

Fundamento. El derecho de supresión debe atenderse sin dilación indebida y, en todo caso, en el plazo de un mes, con resolución expresa incluso cuando no se tengan datos del solicitante (SAP Barcelona 307/2023). La prórroga de dos meses solo cabe por complejidad y hay que comunicarla dentro del primer mes. Y hay un matiz que juega a su favor: la carga de probar el envío y la recepción de la solicitud recae en quien la formula.

Con un límite temporal que conviene tener presente: un tratamiento inicialmente lícito puede devenir ilícito por el mero transcurso del tiempo (SAP Alicante 33/2024). Conservar de más también se reclama.

Quién responde y quién no: la delimitación como cortafuegos

Casi ninguna brecha ocurre íntegramente dentro de su casa. Ocurre en el sistema de un proveedor, en una herramienta contratada, en el servicio de un tercero que trata datos por cuenta de usted. La pregunta que decide quién paga es quién ostentaba la condición de responsable o de encargado del tratamiento en ese punto concreto.

Las obligaciones de seguridad solo son imputables a quien tiene esa condición, no a un tercero ajeno a ella. Así lo razonó la SAP Madrid 371/2023, de 28 de julio, al descartar la responsabilidad de la demandada:

Léalo al revés y verá el valor de negocio: la delimitación contractual de roles no es papeleo, es el cortafuegos que decide quién se sienta en el banquillo. Si sus contratos de encargo del artículo 28 no dicen por escrito quién responde de qué en cada sistema, el reparto lo hará el juez. Y por defecto mirará a quien decide sobre los datos, que es usted.

El trabajo es acotado y perfectamente abordable: saber, uno a uno, qué proveedores acceden a qué datos, y que cada contrato diga qué obligaciones asume cada parte, cómo se avisa una incidencia y en qué plazo. Sin ese mapa no podrá señalar al responsable real ni acreditar que usted controlaba el circuito. Con él, buena parte de la reclamación deja de ser suya.

Autoevaluación rápida: tres preguntas

Antes de seguir, respóndase estas tres con sinceridad. Y cuente «no lo sé» como un «no»: si no lo sabe, no lo puede probar, y ante un tribunal es exactamente lo mismo.

1. ¿Podría entregar mañana, sin reconstruir nada, un documento fechado con las medidas de protección que tenía implantadas el mes pasado?
2. ¿Sabe, uno a uno, qué proveedores acceden a datos personales de sus clientes, y dice cada contrato quién responde si la brecha ocurre en el sistema de ese proveedor?
3. ¿Existe un documento firmado que fije quién decide la notificación a la Agencia y en qué plazo, y un registro fechado de la última formación que impartió a su plantilla?

Si ha respondido «no» a una sola de las tres, su posición probatoria hoy es frágil. El Test de Gestión de Brecha lo mide en doce preguntas, ninguna de ellas técnica, y le devuelve su Índice de Defendibilidad con el desglose regla a regla y la sentencia aplicable a cada una.