Recientemente se ha hecho público que la multinacional Endesa ha sufrido un incidente de seguridad que ha afectado a datos personales de personas clientas, las cuales habrían sido accedidas de manera indebida por un atacante externo. Este hecho vuelve a situar en primer plano una realidad incómoda: ninguna empresa ni profesional está exento de un incidente de seguridad, independientemente de su tamaño o del sector en el que opera.
Más allá del impacto mediático que genera un caso así cuando afecta a una gran compañía, el incidente de Endesa es especialmente relevante porque ilustra claramente qué es una brecha de seguridad según el RGPD, cómo debe actuar una organización y qué riesgos reales existen cuando se tratan datos personales sensibles, como DNIs o datos bancarios.
¿Qué es una brecha de seguridad según el RGPD?
El artículo 4.12 del Reglamento General de Protección de Datos (RGPD) define una brecha de seguridad como:
«cualquier vulneración de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra manera, o la comunicación o acceso no autorizados a estos datos».
En el caso de Endesa, la propia compañía ha reconocido un acceso no autorizado e ilegal que habría podido afectar a datos identificativos (nombre, apellidos, DNI, teléfono), datos relativos al contrato y datos bancarios.
Este tipo de información puede incrementar el riesgo de suplantación de identidad, fraudes o ataques de phishing, incluso si no se han comprometido contraseñas.
¿Cómo ha respondido Endesa y por qué es relevante jurídicamente?
Las personas afectadas recibieron un comunicado de Endesa informando de los hechos. Esta comunicación cumple varios requisitos del RGPD:
- Detección del incidente y activación inmediata de los protocolos de seguridad.
- Medidas de contención y mitigación (bloqueo de accesos, análisis de registros…).
- Notificación a la Agencia Española de Protección de Datos (AEPD).
- Comunicación a las personas afectadas, de acuerdo con el artículo 34 del RGPD.
Este último punto es clave: no todas las brechas obligan a informar a la clientela, pero cuando hay un alto riesgo para los derechos y libertades de las personas —como ocurre cuando se ven comprometidos datos como el DNI o datos bancarios— la comunicación es obligatoria.
¿Qué debe hacer una pyme si sufre una brecha de seguridad?
A menudo se piensa que el RGPD solo afecta a grandes empresas, pero toda organización o profesional de que trate datos personales debe cumplirlo, tanto si se trata de la gestión de clientes, personas trabajadoras, proveedores o el uso de páginas web y redes sociales.
Así, una pyme o una persona autónoma tiene las mismas obligaciones, adaptadas a su contexto. Ante una brecha, los pasos esenciales son:
1. Identificar y contener el incidente
Cerrar accesos, aislar sistemas afectados y evitar que la brecha continúe.
2. Analizar el alcance
Determinar:
- qué datos se han visto afectados,
- cuántas personas,
- y qué medidas de seguridad existían (por ejemplo, si la información estaba cifrada).
3. Documentar la brecha
Incluso si no hay que notificarla, el RGPD exige documentar internamente todas las brechas.
4. Notificar el incidente a la AEPD
Si existe riesgo para los derechos y libertades de las personas, la notificación debe hacerse en un máximo de 72 horas desde que se detecta el incidente.
5. Comunicar la brecha a las personas afectadas
Cuando hay un alto riesgo, hay que comunicarlo de manera clara y transparente para que puedan protegerse de posibles fraudes o suplantaciones.
¿Cómo reducir el riesgo de sufrir una brecha de seguridad?
Este caso evidencia que incluso las grandes corporaciones no están completamente protegidas. Sin embargo, hay medidas que reducen significativamente el impacto legal y económico de un incidente:
- Análisis de riesgos sobre los tratamientos de datos.
- Medidas técnicas adecuadas: control de accesos, doble factor, cifrado, registros de actividad.
- Medidas organizativas: protocolos internos, políticas claras, formación del equipo.
- Planes de respuesta a incidentes para actuar con rapidez y sin improvisaciones.
La tendencia de los últimos años muestra un incremento notable de los ciberataques, tanto en volumen como en sofisticación, lo que representa un riesgo real para empresas, profesionales y administraciones.
Sin embargo, muchas sanciones de la AEPD no se producen tanto por la brecha en sí, sino por una mala gestión posterior: notificaciones tardías, falta de transparencia o ausencia de documentación.
Por ello, contar con asesoramiento especializado en protección de datos, antes, durante y después de un incidente, puede marcar la diferencia entre un incidente controlado y una crisis con consecuencias legales importantes.
