La AEPD recibe más de 3.000 notificaciones de brechas de datos personales en el primer semestre del año
- Las brechas de datos personales notificadas a la Agencia en el primer semestre de 2026 superan a las recibidas durante todo 2025
- Esta cifra es un indicador del aumento de ciberincidentes y otros casos en los que una brecha puede llegar a constituir un riesgo para los derechos y libertades de las personas
- La AEPD recuerda la importancia de que responsables y encargados adopten medidas adecuadas al riesgo y estén preparados para gestionar estas brechas
(20 de octubre de 2026). La Agencia Española de Protección de Datos (AEPD) ha registrado un aumento importante en las brechas de datos personales notificadas por los responsables de tratamiento durante el primer semestre de 2026. Entre enero y junio se recibieron 3.027 notificaciones frente a las 1.271 registradas en el mismo periodo de 2025, lo que supone un incremento del 138%. Si se tiene en cuenta el periodo entre enero y agosto de 2026, el incremento asciende al 163%, 4.556 notificaciones respecto a las 1.728 del mismo periodo en 2025. Esta cifra supone, además, que las brechas de datos personales notificadas a la Agencia en el primer semestre de 2026 superan a las recibidas durante todo 2025.
Los informes que publica la Agencia mensualmente sobre brechas de datos personales permiten identificar algunos de los fenómenos que han contribuido a este incremento. En marzo, la Agencia detectó que un incidente producido en un único encargado del tratamiento provocó una brecha de datos personales en múltiples responsables. En estos casos, el encargado debe informar sin dilación indebida a los responsables para que puedan cumplir con las obligaciones que les corresponden conforme a la normativa de protección de datos.
Asimismo, el informe correspondiente a julio señala que las notificaciones relacionadas con establecimientos hoteleros y sus encargados del tratamiento, generalmente proveedores de software de gestión de reservas, habían contribuido en gran medida al aumento de las notificaciones recibidas por la AEPD en los meses anteriores. En muchas de estas brechas, terceros no legitimados acceden a datos personales de clientes y a información de sus reservas, que posteriormente puede ser utilizada para realizar intentos de fraude. Aunque en menor medida, ya se había advertido de esta situación en el informe sobre notificaciones de brecha de mayo.
El incremento de las notificaciones también coincide con la persistencia de amenazas ya observadas en periodos anteriores. El ransomware continúa provocando brechas de datos personales en organizaciones de distintos sectores y puede comprometer tanto la disponibilidad como la confidencialidad de los datos. La Agencia subraya por ello la necesidad de que responsables y encargados cuenten con medidas preventivas adecuadas al nivel de riesgo y con procedimientos que permitan actuar ante una brecha para minimizar sus posibles consecuencias.
La AEPD recuerda que el artículo 33 del Reglamento General de Protección de Datos establece la obligación de notificar a la autoridad de control competente las brechas de datos personales cuando sea probable que estas constituyan un riesgo para las personas afectadas. Esta obligación forma parte de la responsabilidad proactiva del responsable del tratamiento.
Por otro lado, notificar la brecha de datos personales a la Agencia es tan importante como informar a las personas afectadas. Esta comunicación, sobre todo en casos de riesgo alto, es clave para que las personas afectadas puedan valorar el riesgo de acuerdo con sus circunstancias particulares, y tomar las acciones que consideren apropiadas. En este sentido, los responsables que notificaron una brecha de datos personales a la Agencia emitieron en el primer semestre de 2026 más de 71 millones de comunicaciones a interesados al apreciarse la posibilidad de riesgo alto. Esa comunicación a las personas por parte del responsable del tratamiento es un elemento clave para determinar una respuesta diligente por su parte.
La Agencia recuerda a las organizaciones la importancia de implementar medidas de protección de datos antes de que se produzca una brecha de datos personales (minimización de datos, borrado o anonimización temprana, bloqueo, segmentación, etc.), además de estar preparadas para la gestión de la misma si llegase a materializarse.
Herramientas de ayuda para los responsables
La Agencia ofrece varias herramientas para ayudar en la toma de decisiones a las organizaciones que puedan sufrir una brecha de datos personales. Asesora Brecha ayuda a valorar la obligación de notificar sin dilación indebida a la Agencia y Comunica-Brecha RGPD, presta asistencia para decidir si las organizaciones deben comunicar la brecha de datos a las personas afectadas.
