La AEPD recibe más notificaciones de brechas en seis meses que en todo 2025: 3.027, un 138 % más

1. Los datos de la AEPD

Según la nota de prensa de la Agencia, en el primer semestre de 2026 se registraron 3.027 notificaciones, un 138 % más que las 1.271 del primer semestre de 2025. Contando de enero a agosto, son 4.556 frente a 1.728 el año anterior, un 163 % más. La Agencia señala que las del primer semestre ya superan a las de todo 2025, que según su nota de enero fueron 2.765 (un 80 % del sector privado y un 20 % del público).

La nota añade que los responsables que notificaron brechas en el primer semestre emitieron más de 71 millones de comunicaciones a las personas afectadas, en los casos en que apreciaron posibilidad de riesgo alto.

2. Qué destaca la AEPD

• Hoteles y sus proveedores: las notificaciones de establecimientos hoteleros y de sus encargados, generalmente proveedores de software de gestión de reservas, contribuyeron en gran medida al aumento de los meses anteriores. Terceros no legitimados acceden a datos de clientes y de reservas, que pueden usarse en intentos de fraude. La Agencia lo advirtió en sus informes de mayo y julio.
• Un proveedor, varios afectados: en marzo, un incidente en un único encargado del tratamiento causó una brecha que afectó a múltiples responsables.
• Ransomware: sigue provocando brechas en organizaciones de distintos sectores y puede afectar tanto a la disponibilidad como a la confidencialidad de los datos.

3. Qué sabemos, qué no y qué no suponemos

4. Lo que exige el RGPD

El artículo 33 del RGPD obliga a notificar la brecha a la autoridad de control en un máximo de 72 horas desde que se tiene conocimiento, salvo que sea improbable que suponga un riesgo para las personas, y si se notifica más tarde hay que explicar el motivo. La notificación debe describir la naturaleza de la brecha, incluidas las categorías y el número aproximado de afectados y de registros, indicar un contacto, describir las consecuencias probables y las medidas adoptadas. Además, toda brecha debe documentarse, también las que no se notifican. Si el riesgo es alto, hay que comunicarlo también a los afectados (artículo 34). Lo explicamos con más detalle en la guía RGPD.

5. Qué puede hacer tu empresa

Lo que recomienda la AEPD

1. 1

   Medidas preventivas antes de que ocurra

   Adecuadas al nivel de riesgo. La Agencia cita como ejemplos minimizar los datos, borrarlos o anonimizarlos pronto, bloquearlos y segmentar los sistemas.
2. 2

   Un procedimiento para actuar ante una brecha

   Para minimizar sus consecuencias cuando se produzca.
3. 3

   Notificar y comunicar cuando proceda

   A la Agencia y, en los casos de riesgo alto, a las personas afectadas.
4. 4

   Segundo factor de autenticación

   En su nota de enero, la AEPD lo considera la medida más eficaz contra el uso de credenciales comprometidas, que describe como vía de entrada habitual en las grandes brechas.

Recomendaciones nuestras

• Revisa los contratos con proveedores que traten datos por tu cuenta: que fijen cómo y en qué plazo te avisarán de un incidente.
• Prueba las herramientas gratuitas de la AEPD, Asesora Brecha y Comunica-Brecha RGPD, antes de necesitarlas.
• Anota cada incidente, aunque no lo notifiques: cuándo se detectó, qué datos y personas pudieron verse afectados y qué medidas se tomaron.

Preguntas frecuentes

Información actualizada a 21 de octubre de 2026 a partir de las notas de prensa de la AEPD del 20 de octubre de 2026 y del 23 de enero de 2026. En este artículo no hemos hecho suposiciones: lo que no consta en las fuentes se indica como desconocido.