Seis pasos para preparar a tu empresa ante una crisis de reputación

Notificar a la autoridad que los datos personales de clientes o empleados han salido de los sistemas de una empresa no acarrea, por sí mismo, ninguna sanción. Lo que sí constituye una infracción es no hacerlo, o no avisar a quienes sufren las consecuencias. La Agencia Española de Protección de Datos (AEPD) lo recuerda en su guía sobre brechas de datos personales, donde también fija la escala del riesgo: por incumplir los artículos 32, 33 y 34 del Reglamento (UE) 2016/679, de 27 de abril de 2016, las multas pueden llegar a 10 millones de euros o al 2 % del volumen de negocio mundial del ejercicio anterior. La AEPD presenta una notificación hecha a tiempo como prueba de diligencia.

Pocas crisis de reputación están tan reguladas: la brecha de datos tiene un plazo cerrado, personas con funciones asignadas, un contenido mínimo para los mensajes y la obligación de dejar constancia de lo decidido. Por eso sirve de modelo para preparar cualquier otra, aunque ninguna norma la regule. Prepararse consiste en dejar por escrito, antes del problema, quién decide, qué se dice, a quién y en qué orden, y no requiere un manual de cien páginas. La AEPD, en la versión de junio de 2021 de su guía, recomienda además integrar esos procedimientos en la gestión general de incidentes de seguridad: que la respuesta de comunicación forme parte del mismo circuito que la respuesta técnica, y no llegue después.

Seis pasos para tenerlo listo

1. Lista los escenarios probables. Anota las cinco o seis situaciones que más dañarían la confianza en tu empresa: una brecha de datos, un producto defectuoso, un empleado que se hace viral, un error en una factura masiva. Para cada una, escribe quién la detectaría primero y cómo llegaría la noticia a la dirección. Ese recorrido, desde el primer aviso hasta quien decide, es el que después habrá que acortar.

2. Nombra a las personas y a sus suplentes. La guía de la AEPD reparte funciones con precisión: el responsable del tratamiento evalúa las consecuencias y decide la notificación y la comunicación; el encargado le informa de lo que detecte; el delegado de protección de datos, si existe, asesora y actúa como punto de contacto con la autoridad. La responsabilidad sigue siendo de la empresa que decide sobre los datos. Traslada ese reparto a cualquier otro escenario de crisis: una persona decide, otra redacta, otra atiende a la prensa y a los clientes. Y cada una necesita un suplente con nombre y apellidos.

3. Escribe el procedimiento de activación. La AEPD recomienda definir qué sucesos ponen en marcha el procedimiento, quién notifica y con qué medios. Si tus proveedores tratan datos por tu cuenta, la guía propone fijar en el contrato cuánto tardan en avisarte, y que ese plazo no supere las 72 horas del Reglamento.

4. Prepara los mensajes base. Para quienes resulten afectados por una brecha de alto riesgo, el artículo 34 del Reglamento obliga a usar un lenguaje claro y sencillo. La guía de la AEPD enumera el contenido mínimo: un contacto donde ampliar información, qué ocurrió y cuándo, qué consecuencias puede tener, qué datos afectó, qué medidas se han tomado y qué puede hacer cada persona para protegerse. Ten esa plantilla preparada, con los huecos identificados. La AEPD solo prevé sustituir los avisos individuales por uno público, en un lugar destacado, cuando avisar una a una suponga un esfuerzo desproporcionado o no se pueda localizar a los afectados.

5. Abre un registro de incidentes. El artículo 33.5 del Reglamento obliga a documentar cualquier brecha: los hechos, sus efectos y las medidas correctivas, también cuando no hace falta notificar. La AEPD añade que se anoten las decisiones sobre notificar o comunicar, con copia del mensaje si se envió. No existe un modelo único: sirve cualquier registro que encaje en tus sistemas.

6. Ensaya y revisa. Recorre cada escenario con las personas nombradas, con un incidente inventado y la hora corriendo. Comprueba si saben quién avisa a quién, dónde está la plantilla y si los datos de contacto siguen vigentes. Corrige el procedimiento con lo que falle y anota la fecha de cada simulacro.

Errores frecuentes y cómo saber si está bien hecho

El primer error es esperar a tener toda la información. La AEPD admite una notificación «inicial» antes de que venzan las 72 horas, con los datos preliminares, y permite completarla en un plazo máximo de 30 días mediante una modificación; cualquier retraso debe justificarse. El mismo criterio vale para cualquier crisis: un primer mensaje con lo confirmado puede ampliarse después.

El segundo es tratar la crisis como un asunto solo técnico o solo jurídico. La guía de la AEPD insiste en que el riesgo que cuenta es el de las personas afectadas, no el de la organización, y en que el aviso a quienes sufren las consecuencias forma parte de la respuesta. Un equipo de comunicación que no conoce el procedimiento llega tarde a esa conversación, cuando las decisiones sobre qué decir y a quién ya se han tomado sin él.

Comprobar si el trabajo está hecho no exige una auditoría. Una persona nueva en el equipo debería localizar en minutos el procedimiento, la lista de contactos y la plantilla del mensaje. Cada proveedor que trata datos debería tener un plazo de aviso escrito en su contrato. El registro de incidentes debería existir ya, aunque esté vacío. Y el simulacro más reciente tendría que haber dejado, con su fecha, al menos una corrección anotada.

1. Agencia Española de Protección de Datos (2021). «Guía para la notificación de brechas de datos personales» (versión de junio de 2021). AEPD. aepd.es
2. Agencia Española de Protección de Datos (consultado en 2026). «Notificación de brechas de datos personales (art. 33 RGPD)». Sede electrónica de la AEPD. sedeaepd.gob.es
3. Parlamento Europeo y Consejo (2016). «Reglamento (UE) 2016/679, de 27 de abril de 2016, general de protección de datos». Diario Oficial de la Unión Europea, vía BOE. boe.es