La ficha para imprimir
Filtración de datos: la ficha que conviene guardar
Siete reflejos, en el orden en que sirven, del correo de aviso a la reclamación. Cada uno lleva el texto que lo sostiene.
Expediente EU 2016/679
Esta página está hecha para imprimirse: al imprimir, toda la pantalla que la rodea desaparece.
Estado del derecho verificado el29 de julio de 2026
- 01
Guarde el correo de aviso, con su fecha
La comunicación de una violación de alto riesgo es una obligación legal: ese mensaje es una pieza de expediente. Captura de pantalla, hora y texto íntegro, antes de cualquier otra gestión.
Artículo 34, apartado 1 · Reglamento (UE) 2016/679, artículo 34 (Comunicación de una violación de la seguridad de los datos personales al interesado), apartado 1 · eur-lex.europa.eu - 02
No se deje tranquilizar por la palabra «incidente»
La definición oficial cubre la destrucción, la pérdida, la alteración, la comunicación o el acceso no autorizados, de forma accidental o ilícita. El vocabulario elegido por la empresa no cambia la categoría jurídica.
Artículo 4, punto 12) · Reglamento (UE) 2016/679, artículo 4 (Definiciones), punto 12 · eur-lex.europa.eu - 03
Compruebe los tres contenidos debidos, y reclame lo que falte
Un punto de contacto en el que obtener más información, las posibles consecuencias, las medidas adoptadas o propuestas: el aviso debe contener como mínimo esos tres elementos, en un lenguaje claro y sencillo.
Artículo 34, apartado 2 · Reglamento (UE) 2016/679, artículo 34 (Comunicación al interesado), apartado 2 · eur-lex.europa.eu - 04
Conozca los dos relojes
A más tardar 72 horas, de ser posible, para notificar a la autoridad de control, y si no, la notificación debe ir acompañada de los motivos de la dilación. Hacia usted, ninguna cifra: sin dilación indebida, en cuanto el riesgo es alto. No construya nunca una reclamación sobre el reloj equivocado.
Artículo 33, apartado 1 · Reglamento (UE) 2016/679, artículo 33 (Notificación de una violación de la seguridad de los datos personales a la autoridad de control), apartado 1 · eur-lex.europa.eu - 05
Pregunte al punto de contacto, para eso está
El texto obliga a comunicarle el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información. Qué datos, qué consecuencias, qué medidas: ahí es donde se pregunta.
Artículo 33, apartado 3 · Reglamento (UE) 2016/679, artículo 33 (Notificación a la autoridad de control), apartado 3, letras b) a d) · eur-lex.europa.eu - 06
¿No ha recibido correo? Compruebe las excepciones antes de indignarse
Cifrado aplicado a los datos afectados, medidas ulteriores que descartan el riesgo, o comunicación pública cuando escribir a cada persona sería desproporcionado: las salidas existen y están escritas. La autoridad de control puede comprobarlas y exigir la comunicación.
Artículo 34, apartado 3 · Reglamento (UE) 2016/679, artículo 34 (Comunicación al interesado), apartado 3, letras a) y c) · eur-lex.europa.eu - 07
Presente su reclamación en su propio país
Residencia habitual, lugar de trabajo o lugar de la supuesta infracción: la autoridad la elige usted. Ningún daño en cifras que demostrar para acudir a ella, y le debe el curso y el resultado.
Artículo 77, apartados 1 y 2 · Reglamento (UE) 2016/679, artículo 77 (Derecho a presentar una reclamación ante una autoridad de control) · eur-lex.europa.eu
Información general sobre la base europea, no un asesoramiento jurídico sobre su caso. Sitio educativo independiente, sin vínculo con las instituciones de la Unión Europea. Los enlaces de reclamación de este expediente apuntan únicamente a organismos oficiales.
Fuentes verificadas el 29 de julio de 2026. · https://depleindroit.odersa.org/es/fiches/la-fuite-de-donnees · Contenidos con licencia CC BY 4.0.
Lo que la ley le debe
Cada derecho con su importe o su plazo, el extracto del texto oficial que lo sostiene y su dirección.
Una filtración no es solo un ataque informático
La violación de la seguridad de los datos cubre la destrucción, la pérdida o la alteración accidental o ilícita, y también la comunicación o el acceso no autorizados. Un error interno o un ordenador perdido entran en la definición igual que un ataque.
El texto oficial · Artículo 4, punto 12)
Diario Oficial de la Unión Europea · EUR-Lex · https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679««violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;»
Avisado directamente cuando el riesgo es alto
Cuando sea probable que la violación entrañe un alto riesgo para sus derechos y libertades, el responsable del tratamiento se la comunica a usted, sin dilación indebida. El correo de aviso es una obligación, no un gesto comercial.
El texto oficial · Artículo 34, apartado 1
Diario Oficial de la Unión Europea · EUR-Lex · https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679«1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida.»
Un contenido mínimo, en un lenguaje claro y sencillo
El aviso describe la naturaleza de la violación y contiene como mínimo un punto de contacto en el que obtener más información, las posibles consecuencias y las medidas adoptadas o propuestas. Lo que falte se reclama.
El texto oficial · Artículo 34, apartado 2
Diario Oficial de la Unión Europea · EUR-Lex · https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679«2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b), c) y d).»
72 horas: el reloj corre hacia la autoridad
72 h
La notificación a la autoridad de control se debe sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia; pasado ese plazo, debe ir acompañada de los motivos de la dilación. Su comunicación a usted no tiene cifra: se debe sin dilación indebida cuando el riesgo es alto.
El texto oficial · Artículo 33, apartado 1
Diario Oficial de la Unión Europea · EUR-Lex · https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679«1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.»
La autoridad puede exigir que le avisen
Si la empresa no le ha escrito, la autoridad de control puede considerar la probabilidad de un alto riesgo y después exigir la comunicación individual, o dar por cumplida una excepción escrita. La última palabra no es del comunicado de prensa.
El texto oficial · Artículo 34, apartado 4
Diario Oficial de la Unión Europea · EUR-Lex · https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679«4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.»
Una reclamación que se presenta donde usted vive
Ante una autoridad de control, en particular la del Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción. La autoridad le informa después sobre el curso y el resultado, incluida la posibilidad de acceder a la tutela judicial.
El texto oficial · Artículo 77, apartados 1 y 2
Diario Oficial de la Unión Europea · EUR-Lex · https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679«1. Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento. 2. La autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación, inclusive sobre la posibilidad de acceder a la tutela judicial en virtud del artículo 78.»
Este sitio es educativo e independiente: no es un sitio oficial de la Unión Europea, y este veredicto no es un asesoramiento jurídico sobre su caso. Los plazos y las formulaciones citados están copiados del texto oficial o de la página oficial, cuyo enlace figura bajo cada derecho.
Expediente EU 2016/679
Las piezas de este expediente
Cada pieza tiene su página. La situación se juega aquí; lo que se guarda, lo que se envía y lo que se relee viven al lado.