La AEPD ha puesto de manifiesto que ha recibido 3.027 notificaciones de brechas de datos personales durante el primer semestre de 2026, lo que supone un 138 % más que en el mismo periodo del año 2025, siendo incluso una cifra superior al número de brechas registradas durante todo ese año. Tal y como afirma la Agencia, esta tendencia “muestra un mayor conocimiento del sector a la hora de cumplir con las obligaciones recogidas en el Reglamento General de Protección de Datos; pero también muestra la necesidad de reforzar las medidas de seguridad y de exigir un elevado nivel de diligencia a los proveedores que accedan a los datos y sistemas de los responsables”.
Entre las circunstancias que explican este incremento, la autoridad de control destaca los incidentes sufridos por proveedores únicos (encargados del tratamiento) que prestan servicios a múltiples organizaciones. Así, una brecha en un único encargado del tratamiento puede afectar a numerosos responsables y generar distintas notificaciones. Asimismo, se hace constar que un número elevado de notificaciones provienen del sector hotelero (generalmente por incidencias que sus encargados del tratamiento, proveedores de softwares de gestión de reservas, sufren, permitiendo el acceso a datos por parte de terceros que, posteriormente, utilizan con fines fraudulentos), así como por ataques de ransomware.
En relación con estas brechas que afectan a información relacionada con reservas de viajes u hoteles, la autoridad de control recomienda a los usuarios desconfiar de mensajes inesperados que soliciten pagos, cambios de condiciones extrañas, datos bancarios o contraseñas, especialmente si anuncian cancelaciones o exigen actuar urgentemente. Cualquiera de estas circunstancias debe verificarse a través de los canales oficiales del establecimiento o de la plataforma, y ello con independencia de que el mensaje incluya información real sobre la reserva.
Respecto a la prevención de las brechas de seguridad, se indica que estas suelen tener su origen en robos de información, errores humanos o fallos de seguridad (entre otros), por lo que la AEPD recuerda que las organizaciones deben identificar los riesgos de sus tratamientos, implantar medidas de seguridad adecuadas y revisarlas cuando cambien los sistemas o los tratamientos de datos (actuación que debe extenderse a los proveedores que tienen acceso a datos personales respecto de los que la entidad es responsable). En este sentido, se hace constar que “la prevención debe comenzar antes de que se produzca una brecha”, por lo que “una adecuada gestión de una brecha no comienza cuando se produce el incidente”.
Cuando se detecta una brecha, el responsable debe analizar sin dilación su naturaleza, alcance y consecuencias. Si resulta exigible su notificación, deberá comunicarla a la autoridad de control, como máximo, en las setenta y dos horas siguientes a tener constancia de ella, así como a los afectados, en su caso. Cuando sea improbable que exista un riesgo para los derechos y libertades de las personas afectadas no será necesario comunicarla, aunque deberá documentarse. En este sentido, se indica que “la notificación de una brecha en los casos en que resulta exigible constituye una parte de la responsabilidad proactiva establecida por el RGPD”.
Adicionalmente, la AEPD recuerda que sus distintas herramientas ayudan a valorar las obligaciones de notificación, sirviendo de apoyo para los responsables. También señala que notificar una brecha no implica necesariamente la apertura de un procedimiento sancionador, “pero sí puede mostrar un adecuado nivel de diligencia en la gestión del incidente”. A pesar de lo que indica la autoridad de control respecto de que la notificación de una brecha no supone la incoación de un procedimiento sancionador, sus memorias anuales reflejan un incremento de estos procedimientos sancionadores o de apercibimiento relacionados con brechas de seguridad. Así, estos ascendían a 25 en 2023, a 30 en 2024 y a 77 en 2025, lo que supone un aumento de aproximadamente el 157 % en este último ejercicio y permite acreditar que se sí se incoan cada vez más procedimientos de este tipo (que pueden referirse tanto a la insuficiencia de las medidas de seguridad como al incumplimiento de otras obligaciones relacionadas con las brechas, como su notificación a la autoridad de control o su comunicación a los afectados).
