La AEPD registra un fuerte aumento de las brechas de datos personales notificadas

La Agencia Española de Protección de Datos (AEPD) ha constatado un notable incremento de las brechas de datos personales comunicadas por los responsables del tratamiento. Entre enero y junio de 2026 recibió 3.027 notificaciones, frente a las 1.271 correspondientes al mismo periodo de 2025, lo que representa un aumento del 138 %.

El balance de enero a agosto refleja una evolución aún más pronunciada: la Agencia recibió 4.556 notificaciones, frente a las 1.728 registradas en los mismos meses de 2025, un incremento del 163 %. El volumen acumulado en el primer semestre de 2026 supera, además, el total de notificaciones recibidas a lo largo de 2025.

Los informes mensuales publicados por la AEPD permiten identificar varios factores que contribuyen a este crecimiento. Entre ellos figuran los incidentes que afectan a proveedores que prestan servicios a múltiples organizaciones y las brechas relacionadas con los sistemas informáticos empleados por establecimientos hoteleros.

 

Incidentes que afectan a múltiples organizaciones

Uno de los fenómenos identificados por la Agencia es el de las brechas originadas en un único encargado del tratamiento que terminan afectando a varios responsables. Un incidente de estas características puede comprometer los datos personales de distintas organizaciones que dependen de un mismo proveedor tecnológico.

En estos supuestos, el encargado del tratamiento debe informar al responsable sin dilación indebida para que este pueda cumplir las obligaciones establecidas por la normativa de protección de datos y valorar las medidas necesarias para proteger a las personas afectadas.

La AEPD también ha señalado el peso de las brechas relacionadas con establecimientos hoteleros y sus proveedores tecnológicos, especialmente las empresas que suministran programas de gestión de reservas. En estos incidentes, personas no autorizadas pueden acceder a datos personales de clientes y a información sobre sus reservas, que posteriormente puede utilizarse para intentar cometer fraudes.

 

El ransomware mantiene su capacidad de amenaza

El ransomware continúa siendo una fuente de brechas de datos personales en organizaciones de distintos sectores. Este tipo de ataque puede comprometer tanto la disponibilidad de la información como su confidencialidad, con consecuencias para la actividad de las entidades afectadas y para las personas cuyos datos quedan expuestos.

Ante este escenario, la Agencia subraya la necesidad de que responsables y encargados del tratamiento dispongan de medidas de seguridad preventivas adecuadas al nivel de riesgo. También deben contar con procedimientos de respuesta que permitan detectar, evaluar y gestionar los incidentes, limitar sus efectos y reducir los daños potenciales.

Entre las medidas recomendadas para reforzar la protección figuran la minimización de los datos tratados, su eliminación o anonimización temprana cuando proceda, el bloqueo de la información y la segmentación de los sistemas. Estas actuaciones deben integrarse en la gestión ordinaria de la seguridad y complementarse con protocolos específicos para responder ante posibles brechas.

 

La notificación y la comunicación a los afectados, obligaciones esenciales

El artículo 33 del Reglamento General de Protección de Datos (RGPD) establece que las brechas de datos personales deben notificarse a la autoridad de control competente cuando sea probable que entrañen un riesgo para los derechos y las libertades de las personas físicas. Esta obligación forma parte del principio de responsabilidad proactiva que deben cumplir los responsables del tratamiento.

La AEPD recuerda que la notificación a la autoridad no sustituye el deber de informar a las personas afectadas cuando se cumplen los requisitos previstos en el artículo 34 del RGPD. En particular, si la brecha puede entrañar un alto riesgo para sus derechos y libertades, el responsable debe comunicarla a los afectados sin dilación indebida, salvo que concurra alguna de las excepciones contempladas en la normativa.

Esta comunicación permite que las personas comprendan los riesgos asociados a la exposición de sus datos y adopten medidas adecuadas a sus circunstancias. Entre otras actuaciones, pueden prestar especial atención a posibles intentos de suplantación de identidad, comunicaciones fraudulentas o usos indebidos de la información comprometida.

Las notificaciones efectuadas a la Agencia durante el primer semestre de 2026 dieron lugar a más de 71 millones de comunicaciones a personas afectadas, al apreciarse la posibilidad de un riesgo alto. La cifra pone de relieve la dimensión que pueden alcanzar las consecuencias de una brecha y la importancia de informar a los interesados para facilitar una respuesta adecuada.

La AEPD insiste en que las organizaciones deben incorporar la protección de datos desde el diseño de sus sistemas y procesos, aplicar medidas preventivas proporcionales a los riesgos y mantener procedimientos de gestión de incidentes preparados para responder con diligencia. La prevención, la notificación y la comunicación transparente con las personas afectadas constituyen elementos esenciales para limitar el impacto de las brechas de datos personales.