Si tu web guarda datos de personas (clientes de una tienda, formularios de contacto, usuarios registrados), un hackeo no es solo un problema técnico: puede ser una brecha de datos personales según el Reglamento General de Protección de Datos (RGPD).
Este artículo es información general, no asesoramiento legal. Si tienes dudas sobre tu caso, consulta a tu asesor o a tu delegado de protección de datos.
¿Cuándo un hackeo es una brecha de datos?
Una brecha es cualquier incidente que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. En una web hackeada, ocurre por ejemplo cuando:
- El atacante ha podido acceder a la base de datos con clientes, pedidos o usuarios.
- Hay un skimmer que copia los datos de pago en el formulario de compra.
- Se han filtrado o borrado los mensajes del formulario de contacto.
Si la infección solo ha añadido páginas de spam y no ha tenido acceso a datos personales, puede que no haya brecha. Pero eso hay que comprobarlo, no suponerlo.
El plazo de 72 horas
Según el artículo 33 del RGPD, el responsable debe notificar la brecha a la autoridad de control en un máximo de 72 horas desde que tiene constancia de ella, salvo que sea improbable que suponga un riesgo para las personas afectadas. En España, para empresas y autónomos, la autoridad es la Agencia Española de Protección de Datos (AEPD), que tiene un formulario de notificación en su sede electrónica.
Si no tienes toda la información en ese plazo, puedes notificar lo que sepas y completarlo después.
¿Hay que avisar a los clientes?
Si la brecha puede suponer un alto riesgo para las personas (por ejemplo, datos de tarjetas, contraseñas o información sensible), el artículo 34 obliga a comunicárselo también a ellas sin dilación indebida. La AEPD ofrece la herramienta Comunica-Brecha RGPD para ayudar a decidirlo.
Aunque no notifiques, documéntalo
Toda brecha debe quedar registrada internamente: qué pasó, qué datos afectó, qué consecuencias tuvo y qué medidas tomaste. Es lo primero que te pedirían en una inspección.
Qué hacer en la práctica
- No borres nada a la ligera: hace falta saber qué ocurrió.
- Limpia la web y cierra la entrada para que la brecha no continúe.
- Averigua el alcance: qué datos estaban expuestos y desde cuándo.
- Decide con esa información si notificar y a quién.
Cuando limpiamos una web, el informe final indica qué malware había, por dónde entró y qué se ha hecho. Es justo la información técnica que necesitas para documentar la brecha y tomar la decisión con tu asesor.