AEPD Compliance

¿Qué es AEPD Compliance?

AEPD Compliance se refiere al cumplimiento de las obligaciones establecidas por la normativa de protección de datos en España, especialmente en lo relativo a la gestión de brechas de seguridad. La Agencia Española de Protección de Datos (AEPD) es la autoridad de control que supervisa el cumplimiento del RGPD y la LOPDGDD en España.

En mi trabajo como perito informático forense, el cumplimiento con la AEPD es una dimensión crítica de cualquier investigación de ciberincidentes. Cuando hay datos personales afectados, la empresa tiene obligaciones legales que cumplir en plazos muy ajustados, y el informe forense es pieza clave para la notificación.

¿Cuándo Hay que Notificar?

Condiciones para la Obligación de Notificar

No todas las brechas de seguridad requieren notificación. El RGPD establece un sistema escalonado:

Tipos de Datos y Nivel de Riesgo

El Plazo de 72 Horas

Línea Temporal Típica

Hora 0: Detección de incidente
├── Confirmación de que hay brecha
├── Evaluación preliminar de datos afectados
└── Decisión de si notificar

Hora 24: Análisis inicial
├── Identificación de sistemas afectados
├── Estimación de volumen de datos
└── Categorías de datos comprometidos

Hora 48: Documentación
├── Borrador de notificación
├── Medidas de mitigación adoptadas
└── Evaluación de riesgo para afectados

Hora 72: LÍMITE NOTIFICACIÓN
├── Envío a AEPD (Sede Electrónica)
└── Puede ser notificación preliminar si faltan datos

Notificación por Fases

Si en 72 horas no tienes toda la información, puedes:

1. Notificación preliminar: Con la información disponible
2. Notificaciones complementarias: Según avanza la investigación
3. Notificación final: Con el análisis completo

Contenido de la Notificación a la AEPD

Información Obligatoria (Art. 33 RGPD)

Formulario de la AEPD

La notificación se realiza a través de la Sede Electrónica de la AEPD:

1. Acceso con certificado digital
2. Formulario estructurado de notificación
3. Posibilidad de adjuntar documentación
4. Confirmación de recepción inmediata

Rol del Perito Forense

En mi trabajo, proporciono información técnica crucial para la notificación:

Lo que Aporto al Proceso

Ejemplo de Hallazgos para Notificación

RESUMEN EJECUTIVO PARA NOTIFICACIÓN AEPD
=========================================
Tipo de incidente: Ransomware con exfiltración
Fecha del ataque: 2026-01-28
Fecha de detección: 2026-01-29 08:15
Fecha de contención: 2026-01-29 14:30

DATOS AFECTADOS:
├── Base de datos clientes: 12.847 registros
│   ├── Nombre completo
│   ├── Email
│   ├── Teléfono
│   └── Dirección postal
├── Datos de empleados: 234 registros
│   ├── Nombre, DNI, cuenta bancaria
│   └── (Datos de nómina)
└── Sin datos de categorías especiales

EXFILTRACIÓN CONFIRMADA:
├── Volumen: 3.2 GB
├── Destino: IP en Rusia
└── Evidencia: Logs de firewall adjuntos

MEDIDAS ADOPTADAS:
├── Aislamiento de sistemas afectados
├── Restablecimiento de credenciales
├── Contratación de perito forense
└── Comunicación interna a empleados

Comunicación a los Afectados

Cuándo es Obligatoria

Además de notificar a la AEPD, hay que comunicar directamente a los afectados cuando la brecha supone alto riesgo para sus derechos y libertades.

Contenido de la Comunicación

Consecuencias del Incumplimiento

Sanciones Económicas

Factores Atenuantes

La AEPD considera favorablemente:

• Notificación en plazo aunque sea preliminar
• Cooperación con la investigación
• Medidas de mitigación proactivas
• Comunicación transparente a afectados
• Existencia de DPO y procedimientos

Factores Agravantes

• Ocultación de la brecha
• Notificación solo tras denuncia de terceros
• Medidas de seguridad manifiestamente insuficientes
• Reincidencia
• Datos de categorías especiales afectados

Caso Práctico: Notificación tras Ransomware

Timeline del Incidente

Contenido de la Notificación

Primera notificación (Martes, 25h tras conocimiento):

• Tipo: Ransomware con posible exfiltración
• Datos: Historiales médicos (datos de salud)
• Afectados: Estimación inicial 5.000-10.000 pacientes
• Estado: Investigación en curso

Notificación ampliada (Jueves):

• Afectados confirmados: 8.423 pacientes
• Datos exfiltrados: Nombre, DNI, historial dental, tratamientos
• Período afectado: Pacientes desde 2018
• Medidas: Sistemas reinstalados, credenciales renovadas, monitorización contratada

Resultado

• AEPD abrió expediente informativo (no sancionador)
• Se valoró positivamente la notificación en plazo
• Se recomendaron mejoras de seguridad
• No hubo sanción económica gracias a la diligencia demostrada

Documentación que Aporta el Perito

Para respaldar la notificación a la AEPD, preparo:

1. Informe ejecutivo: Resumen no técnico para la notificación
2. Cronología detallada: Timeline del incidente
3. Análisis de datos afectados: Qué información se comprometió
4. Evidencia de exfiltración: Si se produjo salida de datos
5. Análisis de vector de ataque: Cómo se produjo la brecha
6. Evaluación de medidas de seguridad: Existentes y recomendadas

Conclusión

El cumplimiento de las obligaciones ante la AEPD en caso de brecha no es opcional ni negociable. El plazo de 72 horas es estricto, y la calidad de la notificación puede marcar la diferencia entre un expediente informativo y una sanción millonaria.

Como perito informático forense, mi rol es proporcionar la información técnica precisa y documentada que permita a la organización cumplir sus obligaciones legales y demostrar diligencia ante la autoridad de control.

¿Has sufrido una brecha de seguridad que pueda afectar a datos personales? Contacta con Digital Perito para análisis forense urgente y apoyo técnico en la notificación a la AEPD.

Última actualización: 3 de febrero de 2026 Categoría: Legal Código: AEP-001