Brecha de seguridad con datos de empleados: qué hacer

Una brecha de seguridad con datos de empleados no siempre parece una brecha. Un fichero de nóminas enviado a la dirección equivocada, una carpeta compartida que queda accesible a toda la plantilla, un portátil perdido, un borrado irrecuperable en el sistema de fichaje: los cuatro casos entran en la definición del Reglamento y los cuatro activan un reloj de setenta y dos horas.

El error más frecuente no es no notificar: es tardar tres días en decidir si aquello «cuenta», y descubrir entonces que el plazo ya corría desde el primer momento. Este artículo ordena qué es una brecha, qué hay que hacer en cada tramo y qué queda documentado siempre, aunque no haya que notificar nada.

TL;DR

El artículo 4.12 del RGPD define la violación de seguridad como toda la que ocasione destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados.

El artículo 33.1 obliga a notificar a la autoridad de control sin dilación indebida y, de ser posible, en 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para los derechos y libertades.

Si se pasa de las 72 horas, la notificación debe ir acompañada de los motivos de la dilación.

Si el riesgo es alto, el artículo 34.1 obliga además a comunicarlo al interesado sin dilación indebida.

El artículo 33.5 obliga a documentar toda violación de seguridad, se notifique o no.

Qué cuenta como brecha

El artículo 4.12 del Reglamento (UE) 2016/679 la define así:

«12) “violación de la seguridad de los datos personales”: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;»

Cuatro verbos, y solo dos de ellos evocan un ataque. Los otros dos —destrucción y pérdida— cubren situaciones en las que nadie ha accedido a nada.

Esto cambia el análisis de casos que en muchas empresas ni se plantean como incidente de protección de datos:

Caso	¿Es brecha?	Por qué
Nóminas enviadas a la dirección equivocada	Sí	Comunicación no autorizada
Copia de seguridad del fichaje que no se puede restaurar	Sí	Pérdida o destrucción
Carpeta con partes médicos accesible a toda la plantilla	Sí	Acceso no autorizado
Portátil o móvil corporativo extraviado con datos dentro	Sí	Pérdida
Registro de jornada alterado sin autorización	Sí	Alteración ilícita
Un intento de intrusión bloqueado sin acceso	No, si no hubo destrucción, pérdida, alteración, comunicación ni acceso	No concurre ninguno de los cuatro supuestos

El caso de la copia de seguridad que falla es el que más veces se trata solo como una avería informática. Está tratado desde el otro lado en la guía sobre copia de seguridad de los datos de fichaje.

El reloj de las 72 horas

El artículo 33.1 dice:

«En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.»

Cuatro precisiones que deciden la mayoría de los casos:

El plazo corre desde que se tiene constancia, no desde que ocurre ni desde que se termina de investigar. Si el incidente se descubre un viernes por la tarde, el reloj empieza el viernes por la tarde.

«Sin dilación indebida» va antes que las 72 horas. El plazo máximo no es un derecho a agotarlo.

La excepción es estrecha. Solo se libra la notificación cuando sea improbable que la violación constituya un riesgo. La carga de sostener esa valoración es del responsable, y hay que dejarla escrita.

Pasarse no cierra la puerta. Si se supera el plazo, se notifica igualmente indicando los motivos de la dilación.

En España la autoridad de control es la Agencia Española de Protección de Datos, que el artículo 44.1 de la LOPDGDD configura como autoridad administrativa independiente de ámbito estatal, y a la que el artículo 47 atribuye supervisar la aplicación de esa ley orgánica y del Reglamento, ejerciendo las funciones del artículo 57 y las potestades del artículo 58 del propio Reglamento. En las comunidades autónomas con autoridad propia y en los supuestos que les corresponden, la competencia puede recaer en ellas.

Qué debe contener la notificación

El artículo 33.3 fija el contenido mínimo:

a) Describir la naturaleza de la violación, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados afectados y las categorías y el número aproximado de registros de datos personales afectados.
b) Comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto donde obtener más información.
c) Describir las posibles consecuencias de la violación.
d) Describir las medidas adoptadas o propuestas para poner remedio, incluyendo, si procede, las adoptadas para mitigar los posibles efectos negativos.

Y el artículo 33.4 permite facilitar la información de manera gradual, sin dilación indebida, cuando no sea posible hacerlo simultáneamente. Es la respuesta a la objeción habitual de «todavía no sabemos el alcance»: se notifica lo que se sabe y se completa después.

Cuándo hay que avisar además a la plantilla

El artículo 34.1 dispone:

«Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida.»

Dos umbrales distintos, y conviene no confundirlos:

Destinatario	Umbral	Plazo
Autoridad de control	Que no sea improbable que haya riesgo	Sin dilación indebida y, de ser posible, 72 horas
Interesado	Que sea probable un alto riesgo	Sin dilación indebida

El artículo 34.2 exige que esa comunicación describa «en un lenguaje claro y sencillo» la naturaleza de la violación y contenga como mínimo la información y las medidas de las letras b), c) y d) del artículo 33.3.

El artículo 34.3 exime de comunicar al interesado en tres supuestos:

a) Si el responsable había adoptado medidas técnicas y organizativas apropiadas aplicadas a los datos afectados, «en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado».
b) Si ha tomado medidas ulteriores que garanticen que ya no existe la probabilidad de que se concrete el alto riesgo.
c) Si suponer un esfuerzo desproporcionado, en cuyo caso se opta por una comunicación pública o medida semejante que informe de manera igualmente efectiva.

El artículo 34.4 permite además a la autoridad de control exigir la comunicación al interesado, o decidir que concurre alguna de las condiciones del apartado 3.

Merece la pena subrayar la letra a): el cifrado no evita que haya brecha, pero puede evitar la comunicación individual. Es la mejor razón práctica para cifrar los datos de personal antes de necesitarlo.

Lo que hay que documentar siempre

El artículo 33.5 no admite excepción:

«El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.»

«Cualquier» incluye las que no se notifican. De hecho, es en esas donde el registro interno cumple su función principal: es el documento donde consta por qué se concluyó que era improbable que hubiera riesgo.

Un registro de brechas útil tiene, por cada incidente: fecha y hora de ocurrencia si se conoce, fecha y hora en que se tuvo constancia, descripción de los hechos, datos y personas afectadas, valoración del riesgo con su razonamiento, decisión de notificar o no y su motivo, medidas correctivas y fecha de cierre.

El caso concreto de los datos de fichaje

Los datos del registro de jornada son datos personales y les aplica todo lo anterior. Con dos particularidades.

La primera es que la pérdida tiene doble consecuencia. El artículo 34.9 del Estatuto de los Trabajadores obliga a conservar los registros durante cuatro años a disposición de la plantilla, de sus representantes legales y de la Inspección de Trabajo. Un borrado irrecuperable es a la vez una brecha del artículo 4.12 del RGPD y un incumplimiento del artículo 34.9 del ET, calificado como infracción grave por el artículo 7.5 de la LISOS y sancionable según el artículo 40.1.b) con multa de 751 a 7.500 euros según el grado.

La segunda es que la alteración es una brecha. Modificar apuntes de jornada sin autorización encaja en la «alteración ilícita» del artículo 4.12. Por eso importa que las correcciones queden trazadas: un registro donde las modificaciones son indistinguibles de los apuntes originales no permite ni siquiera detectar el incidente. El procedimiento correcto de corrección está en la guía sobre cómo corregir un fichaje erróneo, y las consecuencias de la manipulación, en sanciones por manipulación del registro de jornada.

Antes de que ocurra nada, la prevención está en el artículo 32.1 del RGPD, que obliga a aplicar medidas técnicas y organizativas apropiadas incluyendo, entre otras, la seudonimización y el cifrado, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas, la capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico, y un proceso de verificación, evaluación y valoración regulares de la eficacia de esas medidas.

Y una obligación que suele olvidarse cuando el sistema es de un proveedor: el artículo 33.2 establece que «el encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento». Ese deber debe estar en el contrato, con un canal y un plazo concretos. Si el proveedor tarda dos semanas en avisar, el plazo del responsable ya se ha consumido.

Los derechos de la plantilla sobre estos datos están tratados en la guía sobre derechos del trabajador sobre los datos de fichaje.

Qué hacer en las primeras horas

Anotar la hora exacta en que se tuvo constancia. Es el dato que después determina si la notificación fue en plazo.
Contener. Cortar el acceso, revocar credenciales, aislar el sistema.
Delimitar. Qué datos, de cuántas personas, de qué categorías. El artículo 33.3.a) pide números aproximados: aproximados basta.
Valorar el riesgo y dejar por escrito el razonamiento, se notifique o no.
Notificar a la autoridad si no es improbable que haya riesgo, con el contenido del artículo 33.3 y de forma gradual si hace falta.
Comunicar a las personas afectadas si es probable un alto riesgo, en lenguaje claro y sencillo.
Registrar el incidente conforme al artículo 33.5, incluidos hechos, efectos y medidas correctivas.

Preguntas frecuentes

¿Cuánto tiempo hay para notificar una brecha?

Sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, según el artículo 33.1 del RGPD. Si se supera ese plazo, la notificación debe ir acompañada de indicación de los motivos de la dilación.

¿Desde cuándo cuentan las 72 horas?

Desde que el responsable tiene constancia de la violación, no desde que se produjo ni desde que concluye la investigación.

¿Hay que notificar siempre?

No. El artículo 33.1 exime cuando sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas físicas. Esa valoración debe quedar documentada conforme al artículo 33.5.

¿Hay que avisar a los empleados afectados?

Solo cuando sea probable que la violación entrañe un alto riesgo para sus derechos y libertades, según el artículo 34.1. El artículo 34.3 contempla tres excepciones, entre ellas que se hubieran aplicado medidas como el cifrado que hagan los datos ininteligibles para quien no esté autorizado.

¿Perder los datos de fichaje es una brecha?

Sí. El artículo 4.12 del RGPD incluye expresamente la destrucción y la pérdida accidental o ilícita en la definición de violación de la seguridad de los datos personales.

¿Y si la brecha ocurre en el proveedor del software?

El artículo 33.2 del RGPD obliga al encargado del tratamiento a notificar sin dilación indebida al responsable las violaciones de las que tenga conocimiento. La obligación de notificar a la autoridad sigue siendo del responsable, es decir, de la empresa.

¿Qué hay que guardar si finalmente no notifico?

Todo. El artículo 33.5 obliga a documentar cualquier violación, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas, para que la autoridad de control pueda verificar el cumplimiento.

Cómo lo resuelve Tempika

La mejor defensa frente a una brecha en el registro de jornada es que la alteración sea detectable. En Tempika cada apunte se encadena mediante hash con el anterior, de modo que una modificación posterior del histórico deja rastro en lugar de pasar inadvertida, y las correcciones legítimas quedan trazadas con autor, fecha y motivo.

El modo Inspección permite extraer el periodo completo por persona en CSV, XML y PDF—, lo que hace posible mantener una copia propia fuera del sistema y responder a la exigencia del artículo 32.1.c) del RGPD de poder restaurar la disponibilidad y el acceso a los datos de forma rápida.

Puedes revisar el detalle en la página de cumplimiento o consultar la guía sobre conservar el registro de jornada cuatro años.

Contenido elaborado por el Equipo Tempika (Summum Marketing) con la redacción vigente del Estatuto de los Trabajadores, de la LOPDGDD y de la LISOS consultada en el BOE, y del Reglamento (UE) 2016/679 en el texto publicado en el Diario Oficial de la Unión Europea, a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.