Has completado Comunica-Brecha RGPD y guardado el informe. ¿Eso significa que las personas afectadas ya conocen la incidencia? No. La herramienta ayuda a valorar si debes comunicarles una brecha; obtener su documento no acredita que hayas realizado esa comunicación ni sustituye la decisión del responsable del tratamiento. Distingue la valoración, la posible notificación a la autoridad y la comunicación a las personas afectadas.
Si estás gestionando un incidente, identifica qué actuación se ha hecho realmente y qué falta. Un informe de ayuda puede formar parte de la documentación, pero no convierte las demás tareas en realizadas.
El informe orienta una decisión que sigue correspondiendo al responsable
La AEPD describe Comunica-Brecha RGPD como una ayuda para valorar la obligación del artículo 34 del RGPD. Aclara que utilizarla no representa un pronunciamiento de la Agencia sobre una brecha concreta ni un cumplimiento automático de las obligaciones.
Revisa qué información se utilizó para obtener el resultado y qué hechos siguen sin confirmarse. Una respuesta basada en una suposición puede necesitar revisarse si después conoces el alcance real del incidente. Conserva esa diferencia sin presentar como hecho lo que solo se estimó al principio.
La página oficial explica además que, al finalizar la ejecución, se eliminan los datos aportados y la Agencia no puede conocer esa información. No confundas por tanto la utilización de este recurso con haber notificado el incidente a la AEPD.
La autoridad y las personas afectadas no son el mismo destinatario
El artículo 33.1 del RGPD regula la notificación a la autoridad competente sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que se tenga constancia, salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas.
El artículo 34.1 exige comunicarla a la persona interesada sin dilación indebida cuando sea probable un alto riesgo para sus derechos y libertades. El mismo artículo contempla condiciones que afectan a esa comunicación. La valoración necesita los hechos del incidente, no trasladar automáticamente la decisión de un destinatario al otro.
| Actuación | Para qué sirve | Qué no demuestra por sí sola |
|---|---|---|
| Utilizar Comunica-Brecha | Ayudar a valorar la comunicación a afectados | Que la Agencia haya recibido una notificación |
| Notificar a la autoridad | Atender la obligación que corresponda del artículo 33 | Que se haya informado a las personas afectadas |
| Comunicar a las personas afectadas | Atender la obligación que corresponda del artículo 34 | Que toda la gestión técnica y documental del incidente esté terminada |
La tabla identifica funciones. No decide si tu incidente concreta cada obligación ni calcula el vencimiento de un expediente particular.
Si corresponde comunicar, el mensaje necesita información útil
El artículo 34.2 pide explicar la naturaleza de la brecha en lenguaje claro y sencillo e incluir, como mínimo, el punto de contacto, las posibles consecuencias y las medidas adoptadas o propuestas a las que remite el artículo 33.3.
Un mensaje que solo diga «hemos tenido una incidencia» puede dejar al destinatario sin saber qué necesita hacer. Trabaja con la información comprobada y con el apoyo que requiera el caso. Distingue lo sucedido de las medidas que todavía están previstas; no anuncies una solución como implantada si sigue pendiente.
El plazo de 72 horas del artículo 33 no es una autorización para retrasar hasta entonces cualquier comunicación a afectados. El artículo 34 utiliza su propia exigencia de actuar sin dilación indebida. Coordina ambas decisiones sin esperar al cierre de un informe interno para examinarlas.
El negocio guardó el informe, pero no había comunicado nada
Supuesto ilustrativo: una persona responsable de un pequeño negocio utiliza la herramienta tras un incidente y guarda el resultado en su carpeta. El equipo interpreta que la tarea está terminada porque dispone de un PDF.
La revisión separa el documento de ayuda de la valoración del responsable y de las comunicaciones que, según los hechos y las reglas aplicables, puedan corresponder. El resultado es una relación de actuaciones hechas y pendientes, sin presentar a clientes o autoridad como informados por el mero uso de la herramienta. El ejemplo no atribuye un nivel de riesgo al incidente ni da por exigible o innecesaria una comunicación concreta.
Para aclarar la situación, explica a Alexis qué actuación has realizado ante la brecha y qué documento has obtenido. Describe primero el problema sin compartir una lista de personas o datos expuestos.
La gestión también debe conservar los hechos y las medidas
El artículo 33.5 exige documentar las brechas con sus hechos, efectos y medidas correctivas. El informe de una herramienta puede ayudar, pero necesita relacionarse con lo que ocurrió y con las decisiones y actuaciones reales del responsable.
Si después cambia una información relevante, identifica qué valoración y qué respuesta deben revisarse. No sobrescribas la cronología para que parezca que el alcance final se conocía desde el principio.
La guía de trámites y asistencia digital de Taxea ayuda a distinguir una herramienta de orientación de una actuación presentada. La respuesta a una brecha puede necesitar además apoyo especializado en protección de datos y seguridad.
Fuentes oficiales
AEPD: alcance de Comunica-Brecha RGPD y artículos 33–34 del Reglamento General de Protección de Datos, consultados el 24 de octubre de 2026.
