¿Qué es la regla de las 72 horas del RGPD? | Todo lo que necesitas saber

Definición de la regla de las 72 horas

La regla de las 72 horas es un requisito fundamental del Reglamento General de Protección de Datos (RGPD) que dicta cómo las organizaciones deben responder ante una brecha de seguridad de datos personales. Según el Artículo 33, un responsable del tratamiento está legalmente obligado a notificar a la autoridad de control pertinente sobre una brecha sin dilación indebida y, cuando sea posible, a más tardar 72 horas después de tener conocimiento de ella. Este plazo es crítico porque asegura que los reguladores puedan evaluar los riesgos para las personas y proporcionar orientación sobre la mitigación lo más rápido posible.

En 2026, a medida que los ecosistemas de datos se vuelven más complejos con la integración de IA y los flujos transfronterizos, esta regla sigue siendo el punto de referencia principal para la responsabilidad corporativa. Una brecha de seguridad de datos personales se define como cualquier incidente de seguridad que conduzca a la destrucción, pérdida, alteración o divulgación no autorizada, accidental o ilícita, de datos personales. La ventana de 72 horas no es una sugerencia, sino un plazo reglamentario estricto que se aplica a todas las organizaciones que manejan datos de residentes dentro de la Unión Europea o el Reino Unido, independientemente de dónde se encuentre físicamente la organización.

Cuándo empieza a correr el reloj

Uno de los puntos de confusión más comunes respecto a la regla de las 72 horas es exactamente cuándo comienza la cuenta atrás. El RGPD especifica que el reloj comienza en el momento en que el responsable del tratamiento tiene "conocimiento" de la brecha. El conocimiento se define generalmente como el punto en el que la organización tiene un grado razonable de certeza de que ha ocurrido un incidente de seguridad que ha comprometido datos personales.

Es importante notar que el período de 72 horas incluye fines de semana y días festivos. Los reguladores esperan que las organizaciones tengan sistemas de monitoreo robustos y equipos de respuesta a incidentes capaces de operar fuera del horario comercial estándar. Si una organización descubre una brecha un viernes por la noche, la notificación debe enviarse antes del lunes por la noche para seguir cumpliendo. Para aquellos que gestionan activos digitales, plataformas como WEEX enfatizan la importancia de una gestión segura de cuentas para prevenir accesos no autorizados que podrían desencadenar tales requisitos de notificación.

Definición de conocimiento vs. descubrimiento

El descubrimiento se refiere a la detección inicial de una anomalía potencial, como una alerta del sistema o un informe de un investigador de seguridad externo. El conocimiento, sin embargo, ocurre después de una breve investigación inicial que confirma que los datos personales estaban efectivamente involucrados. Se espera que las organizaciones actúen "sin dilación indebida", lo que significa que no pueden retrasar intencionalmente la investigación para posponer el inicio del reloj de 72 horas.

El papel de los encargados del tratamiento

Muchas organizaciones utilizan proveedores de servicios externos, conocidos como encargados del tratamiento, para manejar su información. Si ocurre una brecha a nivel del encargado, este debe notificar al responsable del tratamiento sin dilación indebida. La ventana de 72 horas del responsable comienza típicamente una vez que reciben esta notificación de su encargado. Los contratos entre estas partes deben describir claramente estas responsabilidades para asegurar que se cumpla el plazo legal.

Criterios para la notificación obligatoria

No todos los fallos de seguridad menores requieren un informe formal a una Autoridad de Protección de Datos (APD). El RGPD aplica un enfoque basado en el riesgo para las notificaciones. Un informe solo es obligatorio si la brecha es "probable que resulte en un riesgo para los derechos y libertades de las personas físicas". Esto significa que la organización debe realizar una evaluación de riesgo rápida para determinar el impacto potencial en las personas afectadas.

Evaluación del riesgo para las personas

El riesgo se evalúa en función de la sensibilidad de los datos y las consecuencias potenciales para los interesados. Por ejemplo, una brecha que involucre datos cifrados donde la clave permanece segura puede considerarse "poco probable que resulte en un riesgo" y, por lo tanto, podría no requerir notificación. Por el contrario, las brechas que involucran información financiera, registros de salud o credenciales de inicio de sesión conllevan un alto riesgo de robo de identidad, fraude o discriminación, lo que hace que la notificación sea esencial.

Notificaciones de brechas de alto riesgo

Si la evaluación de riesgo indica un "alto riesgo" para los derechos y libertades de las personas, el RGPD impone un requisito adicional: la organización debe notificar a las personas afectadas directamente. Esto debe hacerse sin dilación indebida para permitir que las personas tomen medidas de protección, como cambiar contraseñas o monitorear sus cuentas bancarias. Este es un umbral más alto que la notificación a la APD, que solo requiere un "riesgo probable".

Contenido requerido para las notificaciones

Al enviar una notificación dentro de la ventana de 72 horas, el RGPD requiere que se incluya información específica. Los reguladores entienden que una investigación completa podría no estar completa en tres días, por lo que permiten notificaciones "por fases", siempre que el informe inicial contenga los detalles mínimos necesarios.

Requisito	Descripción
Naturaleza de la brecha	Describa lo que sucedió, incluyendo las categorías y el número aproximado de interesados y registros involucrados.
Punto de contacto	Proporcione el nombre y los detalles de contacto del Delegado de Protección de Datos (DPD) u otro punto de contacto.
Consecuencias probables	Explique el impacto potencial de la brecha en las personas afectadas.
Medidas de mitigación	Detalle los pasos tomados o propuestos para abordar la brecha y mitigar sus efectos adversos.

Consecuencias del incumplimiento

El incumplimiento de la regla de las 72 horas puede llevar a repercusiones legales y financieras significativas. Las Autoridades de Protección de Datos tienen el poder de emitir multas sustanciales por fallos procedimentales, incluso si la brecha de datos subyacente no fue resultado de negligencia. En el entorno regulatorio actual de 2026, la aplicación se ha vuelto más asertiva, particularmente con respecto a la puntualidad de los informes.

Las multas por no notificar una brecha pueden alcanzar hasta 10 millones de euros o el 2% de la facturación anual global de la empresa, lo que sea mayor. Más allá de las sanciones financieras, las organizaciones enfrentan daños reputacionales severos. La transparencia es vista a menudo por el público como una señal de integridad; intentar ocultar una brecha o retrasar su divulgación a menudo resulta en críticas más duras tanto de los reguladores como de los clientes una vez que el incidente inevitablemente se hace público.

Mejores prácticas para el cumplimiento

Para asegurar el cumplimiento de la regla de las 72 horas, las organizaciones deben ir más allá de las medidas reactivas y adoptar una postura de seguridad proactiva. Esto implica capacitación regular del personal, protocolos de cifrado robustos y un plan de respuesta a incidentes bien documentado que se pruebe mediante ejercicios de simulación. En 2026, las herramientas de detección automatizada se utilizan frecuentemente para identificar brechas en tiempo real, ayudando a cerrar la brecha entre el descubrimiento y el conocimiento.

La documentación también es un componente crítico del cumplimiento del RGPD. Incluso si una organización decide que una brecha no cumple con el umbral para la notificación, aún debe documentar el incidente internamente. Este registro debe incluir los hechos de la brecha, sus efectos y el razonamiento detrás de la decisión de no reportarlo. Este registro interno permite a los reguladores verificar que la organización está aplicando correctamente el marco basado en el riesgo del RGPD.