Anexo C — Modelo de Notificación de Brecha

1. Marco normativo

• Art. 33 RGPD: notificación a la autoridad de control en 72 horas.
• Art. 34 RGPD: comunicación a los interesados cuando exista alto riesgo.
• Art. 33.5 RGPD: registro interno de todas las brechas, incluidas las no notificables.
• Guía AEPD sobre brechas de seguridad (última actualización).
• Considerandos 85 a 88 RGPD.

2. Criterios de decisión

2.1. ¿Es una brecha de seguridad?

Sí, si concurre cualquiera de estas circunstancias:

• Destrucción accidental o ilícita de datos personales.
• Pérdida de datos personales.
• Alteración no autorizada de datos personales.
• Divulgación no autorizada de datos personales.
• Acceso no autorizado a datos personales.

2.2. ¿Debe notificarse a la AEPD?

Sí, si la brecha supone un riesgo para los derechos y libertades de las personas físicas. Se presume riesgo cuando:

• Afecta a datos sensibles (art. 9 RGPD).
• Afecta a datos de menores.
• Afecta a un número elevado de interesados.
• Los datos pueden usarse para fraude o suplantación.
• Los datos están expuestos públicamente.

2.3. ¿Debe comunicarse a los interesados?

Sí, si concurre un alto riesgo para sus derechos y libertades. Se presume alto riesgo cuando:

• Los datos permiten identificar directamente a la persona.
• Los datos permiten cometer fraude.
• Los datos sensibles están comprometidos.
• No se pueden mitigar los efectos con medidas técnicas.

3. Plazos aplicables

4. Plantilla A — Notificación a la AEPD

4.1. Datos del responsable

• Razón social: [RAZÓN SOCIAL COMPLETA]
• NIF: [NIF/CIF]
• Domicilio: [DOMICILIO SOCIAL COMPLETO]
• Email de contacto: [EMAIL DPO/PRIVACIDAD]
• Teléfono: [TELÉFONO]
• DPO (si procede): [NOMBRE DEL DPO]

4.2. Datos de la brecha

• Fecha y hora de detección: [FECHA/HORA]
• Fecha y hora estimada de inicio: [FECHA/HORA]
• Fecha y hora de contención: [FECHA/HORA]
• Descripción: [DESCRIPCIÓN DETALLADA]
• Causa raíz: [CAUSA]
• Sistemas afectados: [SISTEMAS]
• Categorías de datos: [DATOS]
• Categorías de interesados: [INTERESADOS]
• Número aproximado de interesados: [NÚMERO]
• Número aproximado de registros: [NÚMERO]
• Cifrado de los datos: Sí / No / Parcial (detallar)
• Riesgo evaluado: Bajo / Medio / Alto / Muy alto
• Medidas adoptadas: [MEDIDAS]
• Medidas previstas: [MEDIDAS FUTURAS]

4.3. Consecuencias probables

[DESCRIBIR LAS CONSECUENCIAS PROBABLES PARA LOS INTERESADOS]

4.4. Firma

El responsable del tratamiento, [REPRESENTANTE LEGAL], declara que los datos consignados son exactos y completos.

En [CIUDAD], a [FECHA].

5. Plantilla B — Comunicación al Responsable (DPA)

5.1. Datos del Encargado

• Razón social: [RAZÓN SOCIAL COMPLETA]
• NIF: [NIF/CIF]
• Punto de contacto: [EMAIL DE CONTACTO]

5.2. Datos del Responsable

• Razón social: [RAZÓN SOCIAL DEL RESPONSABLE]
• NIF: [NIF/CIF DEL RESPONSABLE]
• Email de contacto: [EMAIL]

5.3. Contenido de la comunicación

Estimado/a [NOMBRE]:

En cumplimiento del artículo 28.3.f y del artículo 33.2 del RGPD, y del DPA suscrito entre las partes, le informamos de la siguiente violación de seguridad de datos personales que afecta a datos de su organización:

• Fecha y hora de detección: [FECHA/HORA]
• Descripción: [DESCRIPCIÓN]
• Categorías de datos afectados: [DATOS]
• Categorías de interesados afectados: [INTERESADOS]
• Número aproximado: [NÚMERO]
• Medidas adoptadas: [MEDIDAS]
• Medidas de mitigación: [MEDIDAS]
• Recomendaciones al Responsable: [RECOMENDACIONES]
• Contacto para ampliación: [EMAIL] / [TELÉFONO]

Esta comunicación se realiza dentro del plazo de 48 horas desde el conocimiento del incidente y se mantiene a su disposición para cualquier información adicional que requiera.

Atentamente,
[NOMBRE DEL RESPONSABLE DE SEGURIDAD]
[CARGO]
[EMAIL]

6. Plantilla C — Comunicación a los interesados

6.1. Asunto

Notificación de incidente de seguridad que afecta a sus datos personales

6.2. Cuerpo

Estimado/a [NOMBRE]:

Le informamos de un incidente de seguridad que ha afectado a datos personales suyos tratados por [RESPONSABLE].

¿Qué ha ocurrido?

[DESCRIPCIÓN CLARA, PRECISA Y EN LENGUAJE SENCILLO]

¿Qué datos se han visto afectados?

• [CATEGORÍA DE DATOS 1]
• [CATEGORÍA DE DATOS 2]

¿Qué consecuencias puede tener?

[CONSECUENCIAS PROBABLES]

¿Qué hemos hecho?

[MEDIDAS ADOPTADAS]

¿Qué puede hacer usted?

• [RECOMENDACIÓN 1]
• [RECOMENDACIÓN 2]
• [RECOMENDACIÓN 3]

Más información

Puede contactar con nosotros en [EMAIL] o [TELÉFONO] para cualquier duda.

Puede también presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Atentamente,
[RESPONSABLE]

7. Registro interno de brechas

Conforme al art. 33.5 RGPD, se mantendrá un registro de todas las brechas, incluidas las no notificables. El registro incluirá:

El registro se conserva durante 5 años.

8. Referencias normativas

• Reglamento (UE) 2016/679 (RGPD), arts. 33-34 y considerandos 85-88.
• Ley Orgánica 3/2018 (LOPDGDD), arts. 5 y ss.
• Guía AEPD sobre brechas de seguridad.
• Directrices del CEPD (EDPB) 9/2022 sobre notificación de brechas.
• ISO/IEC 27001:2022, control A.5.24-27.