Cómo denunciar una filtración de datos ante la AEPD

Una filtración de datos personales puede exponer nombres, direcciones, teléfonos, contraseñas, documentos de identidad, información bancaria o datos de salud. Si sospechas que una empresa, administración o plataforma ha sufrido una brecha que afecta a tu información, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD). En este artículo te explicamos qué hacer, qué pruebas reunir y cuándo conviene acudir también a otros organismos.

¿Qué se considera una filtración de datos?

Una brecha de seguridad es un incidente que provoca la destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales. Puede deberse a un ciberataque, un ransomware, un correo enviado a destinatarios equivocados, una base de datos expuesta en Internet o el robo de un dispositivo.

No todas las filtraciones implican que puedas presentar exactamente la misma reclamación. La AEPD analiza si el responsable del tratamiento incumplió el Reglamento General de Protección de Datos (RGPD), por ejemplo, al aplicar medidas de seguridad insuficientes o al no informarte cuando existía un riesgo elevado.

La diferencia entre notificar una brecha y denunciarla

Cuando una organización sufre una brecha, el responsable del tratamiento debe valorar el riesgo y, si procede, comunicarla a la autoridad de control competente en un plazo máximo de 72 horas desde que tiene constancia. En España, normalmente será la AEPD. Si el riesgo para las personas es alto, también debe informar a los afectados sin dilaciones indebidas.

Esta obligación corresponde a la empresa o administración, no a la persona afectada. Como usuario, puedes comunicar los hechos a la AEPD mediante una reclamación si consideras que no se han protegido tus datos, no se te ha informado correctamente o la respuesta recibida ha sido insuficiente.

Qué hacer antes de acudir a la AEPD

1. Confirma el incidente

Guarda el comunicado oficial de la entidad, el correo recibido, capturas de pantalla y cualquier noticia fiable. Desconfía de mensajes que utilicen una supuesta filtración para pedirte contraseñas, códigos de verificación o pagos. La AEPD no te solicitará credenciales para tramitar una reclamación.

2. Protege tus cuentas

• Cambia inmediatamente las contraseñas afectadas y cualquier otra cuenta en la que reutilizaras la misma clave.
• Activa la autenticación multifactor, preferiblemente mediante una aplicación de autenticación o una llave de seguridad.
• Revisa las sesiones abiertas, los dispositivos conectados y las reglas de reenvío de tu correo electrónico.
• Si se han expuesto datos bancarios, contacta con tu banco y vigila los movimientos.
• Si se ha filtrado tu DNI, presta atención a intentos de suplantación y conserva pruebas de cualquier fraude.

Un gestor de contraseñas y alertas de seguridad pueden ayudarte a detectar reutilización de credenciales. Una VPN como NordVPN, Surfshark, ExpressVPN, ProtonVPN o Mullvad protege la conexión frente a determinados riesgos en redes públicas, pero no soluciona una filtración ya producida ni recupera los datos expuestos.

Reclama primero ante la entidad responsable

Antes de presentar la reclamación, escribe al responsable del tratamiento o a su delegado de protección de datos. Expón qué ha ocurrido, qué datos podrían haberse filtrado, cuándo lo supiste y qué información solicitas. Pide que te confirmen:

• La naturaleza de la brecha y la fecha en la que fue detectada.
• Las categorías de datos y personas afectadas.
• Las medidas adoptadas para contener el incidente.
• Si la brecha fue comunicada a la AEPD y si se ha informado a otros afectados.

Conserva tu solicitud y la respuesta. Si ejerces un derecho de protección de datos, como acceso, supresión u oposición, la entidad dispone normalmente de un mes para responder, aunque el plazo puede ampliarse en casos complejos.

Cómo presentar una reclamación ante la AEPD

La vía más práctica es la sede electrónica de la AEPD, donde encontrarás los formularios de reclamación y los procedimientos relacionados con seguridad, confidencialidad y ejercicio de derechos. También existen vías de presentación presencial o postal, según el trámite y tus circunstancias.

En la reclamación, identifica al responsable, describe los hechos cronológicamente y explica por qué consideras que puede existir un incumplimiento del RGPD. Adjunta el comunicado de la filtración, tus comunicaciones con la empresa, respuestas recibidas, capturas, contratos, facturas o cualquier documento relevante. No envíes más datos personales de los necesarios y oculta información sensible que no sea imprescindible.

La AEPD puede investigar y ordenar medidas correctoras o imponer sanciones, pero no actúa como un juzgado para conceder automáticamente una indemnización. Si has sufrido un perjuicio económico o moral, podrías reclamar daños y perjuicios por otras vías, con asesoramiento jurídico cuando sea necesario.

Cuándo acudir a otros organismos

Si detectas cargos no autorizados, transferencias fraudulentas, extorsión o suplantación de identidad, informa cuanto antes a tu banco y presenta denuncia ante la Policía Nacional o la Guardia Civil. Para orientación sobre incidentes y fraudes tecnológicos, puedes contactar con el 017 de INCIBE. Si la organización responsable está establecida principalmente en otro país del Espacio Económico Europeo, puede intervenir otra autoridad de protección de datos, aunque la AEPD puede orientarte sobre la autoridad competente.

Conclusión

Actúa con rapidez, documenta cada paso y no confundas una comunicación comercial con una notificación oficial de brecha. La reclamación ante la AEPD es más sólida cuando demuestra qué ocurrió, cuándo lo supiste, qué riesgos existen y cómo respondió el responsable. Mientras se investiga el incidente, cambia credenciales, activa la autenticación multifactor y permanece alerta ante intentos de phishing.