Las primeras horas deciden el pleito. No las improvise.

El día de la brecha nadie tiene tiempo de decidir quién decide. Y sin embargo esa es la primera decisión, la que marca el ritmo de todas las demás: notificar o no a la Agencia Española de Protección de Datos, comunicar o no a los afectados, y con qué contenido exacto.

La Guardia 72 Horas es un retainer anual que resuelve ese vacío antes de que ocurra. Cuando ocurra, usted hace una llamada y el protocolo se activa: alguien decide, alguien redacta, y todo lo que se hace queda documentado con fecha mientras se hace, no después.

Para quién es

• Empresas que custodian datos de un volumen relevante de personas y saben que un incidente es cuestión de cuándo, no de si.
• Direcciones generales que no quieren descubrir el día del episodio que la decisión más comprometida queda en manos de quien esté disponible esa mañana.
• Quien ya vivió un incidente y recuerda perfectamente el coste de improvisar.
• Organizaciones sin un equipo jurídico interno capaz de sostener tres frentes a la vez con un reloj corriendo en cada uno.

Qué incluye exactamente

1. Protocolo escrito y firmado, antes del incidente. Quién decide la notificación, quién la redacta, quién habla con los afectados y en qué plazo actúa cada uno.
2. Línea de activación durante todo el año. Un solo contacto para poner en marcha el protocolo, sin buscar a nadie ni explicar el caso desde cero.
3. Decisión de notificación a la Agencia. Análisis del caso y decisión motivada por escrito, se notifique o no. La decisión de no notificar también hay que poder justificarla.
4. Comunicación a los afectados. Redacción del texto que se les envía, medido palabra por palabra: es el documento que la parte contraria usará después.
5. Blindaje probatorio desde la primera hora. Registro fechado de qué se supo, cuándo se supo, qué se decidió y quién lo decidió.
6. Simulacro anual. Una activación en seco al año para comprobar que el protocolo funciona con las personas que hoy ocupan los puestos.

Qué regla resuelve

Regla C — La culpa se presume. Para exonerarse tendrá que acreditar las medidas de diligencia adecuadas, incluidas las dirigidas a evitar una suplantación de identidad, según la SAP Madrid 273/2024 (art. 82.3 RGPD). Cada hora improvisada es una hora sin rastro documental, y lo que no tiene rastro no se puede alegar.

Regla D — Responsabilidad proactiva. La carga de demostrar la diligencia recae en usted, y en esas primeras horas se genera la mitad de la prueba del futuro pleito:

Entregables

• Protocolo de respuesta escrito, firmado y distribuido a quien debe ejecutarlo.
• Cuadro de decisión con nombres, suplentes y plazos.
• Modelos de notificación a la Agencia y de comunicación a los afectados, listos para adaptar en horas.
• Plantilla de registro cronológico del incidente, para documentar mientras ocurre.
• Informe de cierre de cada activación, que pasa a integrarse en su expediente probatorio.
• Acta del simulacro anual.

Plazo orientativo

El protocolo queda operativo en dos o tres semanas desde la contratación. A partir de ahí, la guardia está activa durante los doce meses del retainer y la activación es inmediata.

Este servicio cubre la reacción. La prueba que sostendrá esa reacción se construye antes: vea el Expediente de Diligencia Demostrable, mida su posición actual con el Test de Gestión de Brecha y entienda el criterio judicial en qué mira realmente un tribunal después de una brecha.