Brecha de seguridad vs fuga de datos: diferencias que debes conocer
«Brecha de seguridad», «fuga de datos», «filtración», «hackeo»... se usan como sinónimos en prensa y en conversaciones de oficina, pero no significan exactamente lo mismo. Y para una empresa la diferencia importa: de cómo clasifiques un incidente dependen tus obligaciones legales, los plazos y lo que tienes que contar a la AEPD y a tus clientes.
La respuesta corta
Una brecha de seguridad es cualquier incidente que compromete la confidencialidad, la integridad o la disponibilidad de la información; una fuga de datos es la salida o exposición no autorizada de información a personas ajenas. Toda fuga de datos es, en la práctica, un tipo de brecha, pero no toda brecha es una fuga: un ransomware que cifra tus servidores sin copiar nada es una brecha (de disponibilidad), aunque no haya salido ni un dato de tu red.
Conviene precisar algo: ni «brecha» ni «fuga» son categorías jurídicas por sí mismas. Son términos técnicos y periodísticos. La norma habla de otra cosa, y es la que de verdad te obliga.
Diferencias técnicas
Brecha de seguridad. Describe que las defensas han fallado o han sido superadas: una contraseña robada, un servidor sin parchear, un empleado que cae en un phishing, un portátil perdido o un ataque de ransomware. Puede afectar a cualquiera de las tres dimensiones clásicas de la seguridad de la información:
- Confidencialidad: alguien accede a información que no debía.
- Integridad: la información se modifica sin autorización.
- Disponibilidad: la información se pierde o deja de poder utilizarse.
Fuga de datos. Se refiere a que la información sale de donde debería estar protegida. Puede deberse a un ataque, pero también a causas internas sin ninguna intención maliciosa: un correo enviado al destinatario equivocado, una carpeta compartida con enlace público, una base de datos en la nube sin contraseña o un empleado que se lleva documentos al marcharse.
Qué dice la ley: la «violación de la seguridad de los datos personales»
El Reglamento General de Protección de Datos no define «brecha» ni «fuga». En su artículo 4, punto 12, define la violación de la seguridad de los datos personales como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Fíjate en que la definición cubre las tres dimensiones: la destrucción o pérdida (disponibilidad), la alteración (integridad) y el acceso o comunicación no autorizados (confidencialidad). Por tanto, una fuga de datos personales y una brecha que afecte a datos personales son, a efectos del RGPD, el mismo tipo de hecho: una violación de seguridad con obligaciones asociadas. Y cuando el incidente no afecta a datos personales (por ejemplo, un plano industrial o un presupuesto interno), el RGPD no aplica, aunque siga siendo un incidente de seguridad que debes gestionar.
Tabla comparativa
| Aspecto | Brecha de seguridad | Fuga de datos |
|---|---|---|
| Qué es | Fallo o vulneración de la seguridad | Salida o exposición de información a quien no debe verla |
| Dimensión afectada | Confidencialidad, integridad y/o disponibilidad | Principalmente confidencialidad |
| Origen habitual | Ataque externo, malware, credenciales robadas, fallo técnico | Ataque, error humano, mala configuración o acto de un empleado |
| ¿Incluye pérdida de acceso o cifrado? | Sí (por ejemplo, ransomware) | No necesariamente |
| Término en el RGPD | No definido; encaja en «violación de la seguridad de los datos personales» (art. 4.12) si hay datos personales | No definido; igualmente encaja en el art. 4.12 si hay datos personales |
| Obligaciones si hay datos personales | Arts. 33 y 34 RGPD | Arts. 33 y 34 RGPD |
Tres ejemplos ilustrativos
Son situaciones genéricas para entender la diferencia, no casos reales.
- Ransomware sin copia de datos. Un atacante cifra los servidores de una clínica y deja de poder consultarse el historial de pacientes. Es una brecha de disponibilidad. Aunque no se haya copiado nada, hay una violación de seguridad de datos personales y es probable que deba notificarse.
- Correo al destinatario equivocado. Un administrativo envía por error un listado de clientes a otra empresa. No hay ataque, pero sí fuga de datos y violación de la seguridad: toca evaluar el riesgo.
- Carpeta compartida con enlace público. Un archivo con datos de empleados queda accesible para cualquiera con el enlace. Es una fuga por mala configuración; aunque nadie la hubiera aprovechado todavía, hay que valorarla y documentarla.
Idea clave: no clasifiques el incidente por cómo suena, sino por lo que ha ocurrido con los datos. Si afecta a datos personales, aplican los artículos 33 y 34 del RGPD, se llame brecha, fuga o filtración.
Qué hacer: obligaciones del artículo 33 y 34 del RGPD
1. Notificar a la AEPD en un máximo de 72 horas
El artículo 33 obliga al responsable del tratamiento a notificar la violación a la autoridad de control (en España, la AEPD) sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Si no se notifica en 72 horas, hay que indicar los motivos de la dilación. La notificación debe describir la naturaleza de la violación, las categorías de datos e interesados afectados, las medidas adoptadas y, en su caso, las medidas para mitigar los efectos. Si no tienes todos los datos en ese plazo, puedes presentar la información por fases. La AEPD indica en su página de preguntas frecuentes que la notificación se hace por el canal de brechas de su sede electrónica y ofrece un formulario específico.
Si el incidente se produce en un proveedor que trata datos por tu cuenta, el encargado del tratamiento debe avisarte sin dilación indebida (art. 33.2). Por eso conviene que el contrato con tus proveedores lo recoja, como explicamos en este artículo sobre el encargado del tratamiento.
2. Comunicar a los afectados cuando el riesgo sea alto
Según el artículo 34, cuando la violación entrañe un alto riesgo para los derechos y libertades de las personas, hay que comunicárselo sin dilación indebida, en lenguaje claro y sencillo. El artículo prevé excepciones, por ejemplo cuando los datos estaban protegidos con medidas técnicas, como el cifrado, que los hagan ininteligibles para quien no esté autorizado, o cuando se han tomado medidas posteriores que impiden que el alto riesgo se materialice. La comunicación debe explicar qué ha pasado, a quién contactar y qué pueden hacer las personas para protegerse.
3. Documentar todas las brechas, también las no notificadas
El artículo 33.5 exige llevar un registro interno de cada violación de seguridad: los hechos, sus efectos y las medidas correctivas. Este registro permite demostrar a la AEPD que evaluaste el riesgo y decidiste con criterio, incluso cuando concluyes que no hacía falta notificar. Encaja con el resto de tu documentación, como el registro de actividades de tratamiento.
La LOPDGDD y las consecuencias de no cumplir
La Ley Orgánica 3/2018 (LOPDGDD) tipifica expresamente estos incumplimientos. Según su texto consolidado en el BOE, el artículo 73 considera infracciones graves, entre otras, no notificar a la autoridad una violación de seguridad conforme al artículo 33 del RGPD (letra r) y el incumplimiento del deber del encargado de notificar al responsable las violaciones de las que tuviera conocimiento (letra q). El artículo 74 contempla como leves la notificación incompleta, tardía o defectuosa (letra m) y no documentar las violaciones (letra n). Además, el artículo 83.4 del RGPD prevé para estos incumplimientos multas administrativas de hasta 10 millones de euros o, en el caso de una empresa, de hasta el 2 % del volumen de negocio anual global del ejercicio anterior, optándose por la de mayor cuantía.
La AEPD, en cualquier caso, valora la diligencia del responsable y las medidas de seguridad aplicadas. Notificar una brecha no supone una sanción automática, y tener un procedimiento claro ayuda a demostrar buena fe. Te contamos ejemplos de cómo actúa el regulador en multas de la AEPD a pymes.
Cómo prepararte antes de que ocurra
- Define quién decide. Una persona responsable de evaluar si un incidente afecta a datos personales y de activar el procedimiento.
- Crea una plantilla de registro interno con fecha, hechos, datos afectados, riesgo y medidas.
- Prepara textos de comunicación para la AEPD y para los afectados, para no improvisar a contrarreloj.
- Revisa los contratos con proveedores para exigirles aviso inmediato de cualquier incidente.
- Reduce la superficie de ataque: doble factor, copias de seguridad y permisos mínimos.
Todo esto debe formar parte de un plan de respuesta ante incidentes. Y si sospechas que ya has sufrido un incidente, empieza por estas señales de que tu empresa ha sido hackeada.
Fuentes y normativa
- Reglamento (UE) 2016/679 (RGPD), arts. 4.12, 33, 34 y 83.4: EUR-Lex
- Ley Orgánica 3/2018 (LOPDGDD), arts. 73 y 74: BOE
- AEPD, preguntas frecuentes sobre brechas de datos personales: aepd.es
- AEPD, formulario de notificación de brechas: aepd.es
Este contenido es divulgativo y no constituye asesoramiento jurídico; ante un incidente concreto, consulta con un profesional.
¿Sabrías clasificar y notificar un incidente en 72 horas?
Diagnóstico gratuito de tu exposición y de tu preparación ante una brecha.
Y si lo que quieres es ver cómo se han gestionado en la práctica incidentes de empresas españolas, repasamos algunos casos públicos en otro artículo, además de la guía de qué hacer si sufres un ciberataque.
