Brecha en tu proveedor: cómo encadenar su aviso con tu notificación

La respuesta corta: si la brecha ocurre en un proveedor que trata los datos por tu cuenta, la notificación a la AEPD sigue siendo tuya. Él tiene que avisarte «sin dilación indebida» (art. 33.2 del RGPD) y tú tienes 72 horas desde que tienes constancia de la brecha para notificarla, salvo que sea improbable que entrañe un riesgo para las personas (art. 33.1). Según el CEPD, en principio tienes constancia cuando el encargado te informa (Directrices 9/2022, apartado 44). El RGPD no fija un plazo en horas para el aviso del encargado, así que ese número lo pone tu contrato. Si no lo pone, dependes de lo que tu proveedor entienda por «sin dilación».

Este artículo se lee desde el lado del responsable: qué dice cada texto, qué debe decir el contrato de encargo, qué preguntar en la primera llamada y cómo se encadena todo en un ejemplo.

Quién hace qué

El reparto lo fija el RGPD y no cambia porque la brecha haya ocurrido fuera de tu casa.

Hay dos matices del CEPD que conviene tener claros desde el principio.

El primero: el encargado no tiene que evaluar el riesgo antes de avisarte. Solo tiene que determinar si se ha producido una violación y notificártelo; la evaluación es tuya (Directrices 9/2022, ap. 44). Un proveedor que retrasa el aviso «hasta saber si es grave» gasta tu margen.

El segundo: el encargado puede notificar en tu nombre si así consta en el contrato, pero la responsabilidad legal de notificar sigue siendo tuya (ap. 48). Como dice la guía de la AEPD, la delegación de funciones no implica delegación de responsabilidad.

Cuándo empiezan a correr tus 72 horas

El artículo 33.1 cuenta las 72 horas desde que el responsable «haya tenido constancia» de la violación. El CEPD considera que tienes constancia cuando tienes «un grado razonable de certeza de que se ha producido un incidente de seguridad que compromete datos personales» (Directrices 9/2022, ap. 31). Antes de llegar a esa certeza puedes hacer una breve investigación, y mientras dura no se considera que tengas constancia. Pero esa investigación tiene que empezar lo antes posible (ap. 34).

Cuando la brecha está en el encargado, el CEPD es concreto: «el responsable del tratamiento recurre al encargado del tratamiento para lograr sus fines; por tanto, en principio, el responsable del tratamiento debe considerar que "tiene constancia" una vez que el encargado del tratamiento le haya informado de la violación» (ap. 44). Es el mismo criterio que ya fijaban las directrices WP250 rev.01 del Grupo del Artículo 29, que las 9/2022 actualizan.

De ahí salen tres consecuencias prácticas:

• El reloj no arranca cuando el proveedor detecta el incidente, sino cuando te avisa. Eso no te protege de un proveedor lento. El apartado 32 recuerda que el responsable tiene que poder enterarse de las brechas a tiempo, y el contrato es una de las medidas que lo hacen posible.
• Las 72 horas incluyen fines de semana y festivos. Lo dice la guía de la AEPD. Un aviso que llega un jueves por la tarde vence el domingo por la tarde.
• «Sin dilación indebida» no tiene número. El RGPD no fija un plazo para el aviso del encargado (ap. 45). El CEPD recomienda que avise sin demora y complete la información por fases, y que el contrato concrete cómo se cumple el artículo 33.2, con requisitos de notificación temprana si hace falta (ap. 46). La AEPD va un paso más allá: el plazo debe fijarse según el riesgo del tratamiento y no debería superar las 72 horas.

Un contrato que da al encargado 72 horas respeta ese tope, pero si el proveedor las agota, tu plazo empieza con todo el trabajo por hacer. Pacta bastantes menos.

Lo que el contrato de encargo tiene que decir

El artículo 28.3 exige un contrato por escrito con un contenido mínimo. Para las brechas importan tres letras: la f, que obliga al encargado a ayudarte con los artículos 32 a 36; la h, que le obliga a darte la información necesaria para demostrar el cumplimiento y a permitir auditorías; y la d, que remite a las reglas de subencargados de los apartados 2 y 4.

La cláusula «el encargado notificará sin dilación indebida» copia el artículo 33.2 y no añade nada. Una cláusula útil concreta esto:

• Plazo en horas. Contado desde que el encargado tiene conocimiento de la brecha, no desde que la ha analizado. Por debajo de 72 y según el riesgo del tratamiento, como pide la AEPD.
• Aviso sin esperar a evaluar el riesgo. Reproduce el criterio del CEPD: el encargado avisa en cuanto determina que hay una violación.
• Contenido mínimo del primer aviso y avisos por fases. Lo que sepa en ese momento sobre la naturaleza de la brecha, las categorías y el número aproximado de interesados y de registros, las consecuencias probables y las medidas tomadas. Es lo que tú tendrás que notificar según el artículo 33.3. Lo que falte llegará «de manera gradual sin dilación indebida», como dice el 33.4, con una fecha para cada actualización.
• Canal y contacto disponibles a cualquier hora. Una dirección y un teléfono del encargado y otros tuyos, con sustitutos. Si el aviso llega un viernes a un buzón que nadie lee hasta el lunes, el reloj ha corrido igual.
• Cooperación y pruebas. Respuesta a tus preguntas en un plazo fijado, acceso a quien lleva el incidente, conservación de registros y evidencias, e informe final con la causa y las medidas correctoras. Sin eso no completas la notificación ni tu registro.
• Subencargados. Que la obligación de aviso baje a ellos con el mismo plazo y que el encargado te avise aunque la brecha la sufra su subencargado. El artículo 28.4 obliga a imponerles las mismas obligaciones de protección de datos del contrato principal y deja al encargado inicial plenamente responsable ante ti de su cumplimiento. El 28.2 te da la oportunidad de oponerte a cada nuevo subencargado.
• Quién notifica. La AEPD pide que el contrato deje claro quién hace las notificaciones y comunicaciones. Si autorizas al encargado a notificar en tu nombre, que conste, y que conste también cómo te informa antes.
• Varios clientes afectados. Si la brecha afecta a varios responsables, el encargado tiene que comunicar los detalles a cada uno (Directrices 9/2022, ap. 47). No te sirve un comunicado general sin los datos de tu tratamiento.

Y recuerda que una cláusula no es una verificación: prueba el canal de aviso antes de necesitarlo.

Lo que te va a pedir la AEPD, y de dónde lo vas a sacar

La notificación se hace con el formulario de la sede electrónica de la AEPD. Su versión en PDF, reservada a quien no está obligado a relacionarse con la Administración por medios electrónicos, recoge los apartados que tendrás que rellenar. Leídos desde una brecha en un proveedor, buena parte de los datos solo los tiene él.

Las medidas anteriores a la brecha tienen trampa: el formulario advierte de que tendrás que poder acreditar las que marques ante un requerimiento de la autoridad. Si marcas cifrado o auditorías periódicas en los sistemas del proveedor, necesitas su evidencia.

La primera llamada con el proveedor

Con la tabla anterior, la primera llamada se prepara sola. Lleva las preguntas escritas y anota la hora de cada respuesta:

1. ¿Qué ha pasado, cuándo empezó y cuándo y cómo lo detectasteis?
2. ¿Qué tratamientos nuestros, qué sistemas y qué entornos están afectados? ¿Hay copias o datos de prueba implicados?
3. ¿Es una pérdida de confidencialidad, de disponibilidad o de integridad? ¿Los datos estaban cifrados, y la clave también está comprometida?
4. ¿Qué categorías de datos y de personas, y cuántos registros, aunque sea de forma aproximada?
5. ¿Está contenido? ¿Qué habéis hecho y qué vais a hacer?
6. ¿Interviene algún subencargado?
7. ¿Hay indicios de que los datos se estén usando: extorsión, publicación, campañas de phishing?
8. ¿Lo habéis puesto en conocimiento de alguna autoridad o de la policía?
9. ¿Quién es nuestro interlocutor y cuándo llega la próxima actualización?

Sobre la segunda, el CEPD recuerda que quizá tú conserves una copia de los datos que el encargado ha perdido, y eso puede cambiar si tienes que notificar (ap. 44).

Notificar sin tener toda la información

Cuando el incidente está en casa de otro, es fácil que a las 72 horas no lo tengas todo. El RGPD lo prevé: la información puede facilitarse «de manera gradual sin dilación indebida» (art. 33.4). El CEPD recomienda indicar en la primera notificación que todavía no tienes toda la información y que la completarás más adelante (Directrices 9/2022, ap. 57).

La AEPD lo concreta en su guía y en su formulario. Haces una notificación inicial antes de las 72 horas, con la información preliminar o las estimaciones de que dispongas. Después la completas con una modificación, incluida la decisión sobre la comunicación a los afectados, en un plazo máximo de 30 días hábiles desde la inicial. Si no aportas nada más en ese plazo, la AEPD considerará completa la notificación inicial.

Si aun así notificas fuera de las 72 horas, tienes que explicar los motivos del retraso (art. 33.1).

Los afectados

Si es probable que la brecha entrañe un alto riesgo para las personas, tienes que comunicárselo sin dilación indebida, en un lenguaje claro y con al menos el contacto, las consecuencias probables y las medidas (art. 34.1 y 34.2). No hace falta si los datos eran ininteligibles, por ejemplo cifrados, o si tus medidas posteriores hacen improbable el alto riesgo; si supone un esfuerzo desproporcionado, basta una comunicación pública igual de eficaz (art. 34.3). La comunicación es tuya, aunque te ayude el proveedor: él conoce el incidente, tú conoces a las personas.

Documenta todas, también las que no notificas

El artículo 33.5 te obliga a documentar cualquier brecha, con los hechos, sus efectos y las medidas correctivas, también las que decides no notificar. La guía de la AEPD pide guardar además las decisiones sobre la notificación y la comunicación, y el formulario te pregunta si has actualizado tu registro de incidentes. En una brecha del proveedor, el expediente debe tener la hora de su aviso, que es la que fija tu plazo, y la de cada actualización.

Si además te aplica DORA o NIS

Una brecha en un proveedor suele ser también un incidente para otros regímenes, y cada uno lleva su propio reloj.

DORA. Si eres una entidad financiera y el proveedor es tu proveedor TIC, el incidente grave lo notificas tú al supervisor (art. 19.1): en 4 horas desde que lo clasificas como grave y nunca más tarde de 24 horas desde que tienes conocimiento del incidente (Reglamento Delegado 2025/301, art. 5). Ese plazo puede vencer mucho antes que las 72 horas del RGPD. Todo contrato con un proveedor TIC debe incluir su asistencia ante incidentes relacionados con su servicio, sin coste adicional o con un coste fijado de antemano (art. 30.2.f). Más detalle en cuándo un incidente es grave según DORA.

NIS2 y NIS. NIS2 pide a las entidades esenciales e importantes una alerta temprana en 24 horas y una notificación en 72 horas desde que conocen el incidente significativo (art. 23.4). En España sigue en vigor el Real Decreto-ley 12/2018, cuyas notificaciones cubren también los incidentes en sistemas de proveedores externos (art. 19.3). El estado de la transposición está en NIS2 en España.

Ninguna de estas notificaciones sustituye a la del RGPD. El CEPD lo dice expresamente para la Directiva NIS: si el incidente es también una brecha de datos personales, se notifica por separado a la autoridad de protección de datos (Directrices 9/2022, ap. 136).

Un ejemplo con ACME

Ejemplo inventado para ilustrar cómo se encadenan los plazos. Los hechos y las horas son ficticios.

ACME externaliza su nómina en Lumen Nóminas, que trata los datos de su plantilla como encargado. El contrato obliga a Lumen a avisar en 24 horas desde que tiene conocimiento de una brecha, por un canal disponible a cualquier hora, y a completar la información por fases.

Lumen avisó cinco horas y media después de confirmar la brecha, sin esperar a saber si era grave, y ACME notificó el viernes con margen. Con un contrato que solo dijera «sin dilación indebida», Lumen podría haber esperado al análisis del lunes: la plantilla habría pasado días sin saber que sus datos bancarios circulaban, y ese aviso difícilmente habría sido «sin dilación indebida».

Lo que no es cierto

• «Si la brecha es del proveedor, que notifique él.» Notificas tú. Él solo puede hacerlo en tu nombre si lo autorizas en el contrato, y la responsabilidad sigue siendo tuya.
• «El proveedor tiene 72 horas para avisarme.» El RGPD no le da un plazo en horas. El número lo pone tu contrato, y la AEPD pide que no pase de 72.
• «Si no tengo todos los datos, mejor esperar.» Notifica por fases (art. 33.4).
• «Si no la notifico, no tengo que guardar nada.» Todas se documentan (art. 33.5).

Cómo tenerlo preparado

Una cláusula de brechas revisada en cada contrato de encargo, un canal de aviso probado con los proveedores críticos, el guion de la primera llamada, una plantilla de expediente con los campos del formulario de la AEPD y, si también te aplica DORA o NIS2, una tabla con todos los plazos, porque el primero en vencer no será el del RGPD.

En Almenara, el módulo de Incidentes clasifica cada incidente, te deja a la vista el plazo de notificación del RGPD, DORA, NIS2 y el ENS y prepara los informes con lo ya registrado para que tu responsable los envíe. Y en Gestión de terceros, el proveedor puede avisar de una brecha desde su portal y el aviso llega a todos sus clientes en la plataforma.

Preguntas frecuentes

¿Y si el proveedor no es encargado, sino responsable?

Entonces trata los datos para sus propios fines, la brecha es suya y la notifica él. Este artículo se refiere al caso en que trata los datos por tu cuenta. Si sois corresponsables, el CEPD recomienda que vuestro acuerdo diga quién lleva la notificación de brechas (Directrices 9/2022, ap. 42).

¿Qué hago si el proveedor me avisa tarde?

Notifica igualmente en cuanto tengas constancia y, si ya no llegas a las 72 horas, explica los motivos del retraso (art. 33.1). Guarda en el expediente cuándo detectó él el incidente y cuándo te avisó. Si el retraso fue indebido, ha incumplido el artículo 33.2 y seguramente el contrato, y eso lo tratas con él.

¿Tengo que nombrar al proveedor en la notificación?

El formulario de la AEPD pide los datos del encargado si hay otra organización implicada en la brecha. El CEPD añade que puede ser útil nombrarlo si está en el origen, sobre todo cuando el incidente afecta a otros responsables que usan el mismo proveedor (Directrices 9/2022, ap. 54).