{"id":759,"date":"2026-09-22T19:57:46","date_gmt":"2026-09-22T19:57:46","guid":{"rendered":"https:\/\/cybertica.cr\/?p=759"},"modified":"2026-09-22T19:57:46","modified_gmt":"2026-09-22T19:57:46","slug":"record-historico-la-aepd-cerro-2025-con-2-700-notificaciones-de-brechas-de-datos-personales","status":"publish","type":"post","link":"https:\/\/cybertica.cr\/?p=759","title":{"rendered":"R\u00e9cord hist\u00f3rico: la AEPD cerr\u00f3 2025 con 2.700 notificaciones de brechas de datos personales"},"content":{"rendered":"\n

La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos registr\u00f3 el a\u00f1o pasado el mayor n\u00famero de notificaciones desde la entrada en vigor del Reglamento General de Protecci\u00f3n de Datos, confirmando que la exposici\u00f3n de la informaci\u00f3n personal se ha convertido en uno de los principales riesgos para organizaciones p\u00fablicas y privadas.
<\/a><\/p>\n\n\n\n

Un volumen de notificaciones sin precedentes<\/h2>\n\n\n\n

Durante 2025, la AEPD recibi\u00f3 un total de 2.765 notificaciones de brechas de datos personales, una cifra que marca un m\u00e1ximo hist\u00f3rico.<\/p>\n\n\n\n

El reparto de estos incidentes evidencia que el riesgo es transversal, ya que cerca del 80% de las comunicaciones procedieron del sector privado<\/strong>, mientras que el 20% restante tuvo su origen en organismos p\u00fablicos.<\/p>\n\n\n\n

Este volumen confirma que la exposici\u00f3n de datos personales no es un problema aislado ni limitado a grandes corporaciones tecnol\u00f3gicas.<\/p>\n\n\n\n

Todo tipo de organizaciones, independientemente de su tama\u00f1o o actividad, se ven afectadas por incidentes que pueden comprometer informaci\u00f3n sensible de empleados, clientes o ciudadanos.<\/p>\n\n\n\n

La normativa vigente establece que cualquier brecha que pueda suponer un riesgo debe ser notificada a la autoridad de control.<\/strong><\/p>\n\n\n\n

Esta obligaci\u00f3n, recogida en el art\u00edculo 33 del RGPD, forma parte del principio de responsabilidad proactiva y no implica autom\u00e1ticamente la imposici\u00f3n de sanciones.<\/p>\n\n\n\n

De hecho, la propia Agencia subraya que comunicar un incidente es un deber legal y una muestra de diligencia por parte del responsable del tratamiento.<\/p>\n\n\n\n

Pocos casos investigados, pero de gran gravedad<\/h2>\n\n\n\n

A pesar del elevado n\u00famero de notificaciones, solo once de los casos registrados en 2025 fueron derivados a actuaciones de investigaci\u00f3n adicionales.<\/p>\n\n\n\n

Estos expedientes correspondieron a incidentes considerados de especial gravedad, en los que se detectaron deficiencias relevantes en la gesti\u00f3n del riesgo o en las medidas de seguridad implantadas.<\/p>\n\n\n\n

La AEPD recalca que el foco no se sit\u00faa en penalizar a quienes notifican, sino en aquellos supuestos en los que existen indicios de falta de diligencia o de incumplimiento de las obligaciones b\u00e1sicas de protecci\u00f3n de datos<\/strong>. Este enfoque busca fomentar la transparencia y evitar que las organizaciones oculten incidentes por temor a sanciones.<\/p>\n\n\n\n

Ransomware y robo masivo de informaci\u00f3n<\/h2>\n\n\n\n

Entre los episodios m\u00e1s graves registrados en 2025 destacan los vinculados al ransomware y a la exfiltraci\u00f3n de grandes vol\u00famenes de datos.<\/p>\n\n\n\n

Este tipo de ataques ha tenido un impacto especialmente elevado cuando se ha dirigido contra proveedores que act\u00faan como encargados del tratamiento, como plataformas de gesti\u00f3n de clientes o servicios tecnol\u00f3gicos compartidos por m\u00faltiples empresas.<\/p>\n\n\n\n

La Agencia ha se\u00f1alado que una de las v\u00edas de acceso m\u00e1s habituales en estos casos ha sido la utilizaci\u00f3n de credenciales comprometidas<\/strong>, especialmente en servicios expuestos a internet o accesos remotos mediante VPN.<\/p>\n\n\n\n

La ausencia de autenticaci\u00f3n multifactor contin\u00faa siendo uno de los factores que m\u00e1s facilitan este tipo de intrusiones.<\/p>\n\n\n\n

No obstante, no todas las brechas se producen como consecuencia de ataques externos<\/strong>.<\/p>\n\n\n\n

Una parte significativa tiene su origen en errores humanos, como el env\u00edo de informaci\u00f3n a destinatarios incorrectos, la publicaci\u00f3n accidental de datos o una configuraci\u00f3n inadecuada de sistemas internos.<\/p>\n\n\n\n

M\u00e1s de 200 millones de comunicaciones a afectados<\/h2>\n\n\n\n

Uno de los datos m\u00e1s reveladores del informe es el n\u00famero de personas que tuvieron que ser informadas como consecuencia de estos incidentes.<\/p>\n\n\n\n

A lo largo de 2025 se enviaron m\u00e1s de 200 millones de comunicaciones a afectados por brechas consideradas de alto riesgo<\/strong>, una cifra que pone de manifiesto el alcance real de este tipo de sucesos.<\/p>\n\n\n\n

La comunicaci\u00f3n a los afectados es una obligaci\u00f3n legal cuando existe un riesgo elevado para sus derechos, y tambi\u00e9n un indicador clave para valorar el grado de responsabilidad del responsable del tratamiento.<\/p>\n\n\n\n

La AEPD considera que informar de forma clara y transparente permite a los ciudadanos adoptar medidas de protecci\u00f3n y reduce el impacto potencial del incidente.<\/p>\n\n\n\n

Prevenci\u00f3n y herramientas de apoyo<\/h2>\n\n\n\n

Ante este escenario, la Agencia insiste en la importancia de adoptar medidas preventivas antes de que se produzca una brecha<\/strong>.<\/p>\n\n\n\n

Entre las recomendaciones habituales se encuentran la minimizaci\u00f3n de datos, la segmentaci\u00f3n de sistemas, la limitaci\u00f3n de accesos, el uso de cifrado y la eliminaci\u00f3n temprana de informaci\u00f3n innecesaria.<\/p>\n\n\n\n

Asimismo, la AEPD pone a disposici\u00f3n de las organizaciones herramientas espec\u00edficas para facilitar la gesti\u00f3n de incidentes, como Asesora Brecha<\/strong>, que ayuda a determinar si un incidente debe notificarse, y Comunica-Brecha RGPD<\/strong>, orientada a decidir si procede informar a las personas afectadas.<\/p>\n","protected":false},"excerpt":{"rendered":"

La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos registr\u00f3 el a\u00f1o pasado el mayor n\u00famero de notificaciones desde la entrada en vigor del Reglamento General de Protecci\u00f3n de Datos, confirmando que la exposici\u00f3n de la informaci\u00f3n personal se ha convertido en uno de los principales riesgos para organizaciones p\u00fablicas y privadas. Un volumen de notificaciones sin […]<\/p>\n","protected":false},"author":1,"featured_media":761,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-759","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/759","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=759"}],"version-history":[{"count":1,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/759\/revisions"}],"predecessor-version":[{"id":762,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/759\/revisions\/762"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/media\/761"}],"wp:attachment":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=759"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=759"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=759"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}