Calculadora del plazo de 72 horas para notificar brechas de datos y ayuda a la decisión

Indicad cuándo tuvo constancia vuestra universidad de una violación de la seguridad de los datos personales y obtened el plazo del artículo 33 del RGPD con una cuenta atrás, los plazos de NIS2 si se os aplican y el plazo de aviso del proveedor según vuestro contrato de encargo. Después, completad un breve cribado basado en las directrices del CEPD, abrid la página de notificación de vuestra autoridad de control y copiad una entrada de registro conforme al artículo 33.5. Todo se ejecuta en vuestro navegador.

Publicado el 9 de octubre de 2026 · Fuentes verificadas el 9 de octubre de 2026

También disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Português

¿Cómo se calcula el plazo de 72 horas?

Las 72 horas del artículo 33.1 del RGPD corren desde el momento en que la universidad tuvo constancia de la brecha, y son horas naturales: cuentan las noches, los fines de semana y los festivos. Las directrices del CEPD sobre notificación de brechas remiten al Reglamento 1182/71 sobre plazos, que incluye los sábados, domingos y festivos en todo plazo salvo que se exprese en días hábiles.

El artículo 33.1 exige notificar «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella». Las 72 horas son un límite máximo, no un objetivo. Una notificación posterior debe indicar los motivos de la dilación, y si faltan datos podéis notificar de manera gradual (art. 33.4).

El plazo empieza al tener constancia, no con el incidente en sí. El CEPD considera que el responsable tiene constancia cuando tiene "a reasonable degree of certainty" (un grado razonable de certeza) de que un incidente de seguridad ha comprometido datos personales (Directrices 9/2022, apdo. 31). Antes de ese momento se admite una investigación breve, que debe empezar lo antes posible (apdo. 34).

Lo que añade el Reglamento 1182/71

En el apartado 40 de las Directrices 9/2022, el CEPD añade a las 72 horas una nota que remite al Reglamento (CEE, Euratom) n.º 1182/71, las normas generales de la UE sobre plazos, fechas y términos. Tres de sus reglas importan aquí:

• Los plazos incluyen los días festivos, los domingos y los sábados, salvo que se excluyan expresamente o que el plazo se exprese en días hábiles (art. 3.3).
• La prórroga hasta el siguiente día hábil cuando un plazo termina en fin de semana o festivo solo se aplica a los plazos que no se expresan en horas (art. 3.4). No amplía las 72 horas.
• En un plazo expresado en horas, no se cuenta la hora en que se produce el hecho (art. 3.1). En una lectura estricta, tener constancia a las 10:20 hace que el plazo empiece a las 11:00, de modo que termina a las 11:00 tres días después.

Análisis de Validemic La herramienta muestra como plazo las 72 horas exactas desde el minuto en que se tuvo constancia, y la lectura estricta del artículo 3.1 como nota. Planificad con la hora más temprana. Los minutos de diferencia no justifican una discusión con vuestra autoridad, y la obligación es en todo caso notificar sin dilación indebida.

Husos horarios y cambios de hora

La herramienta convierte la hora que introducís en un momento exacto, así que el plazo es correcto en cualquier huso horario. Si hay un cambio de hora dentro de las 72 horas, cuenta 72 horas transcurridas, lo que significa que el plazo vence una hora antes o después, según el reloj, que la hora de constancia. La herramienta os avisa cuando ocurre y os indica qué hora es la más temprana.

¿Cuándo empieza el plazo si la brecha se produce en un proveedor?

En principio, cuando el proveedor os lo comunica. El encargado debe notificar al responsable «sin dilación indebida» tras tener conocimiento de una brecha (art. 33.2), y el CEPD indica que, en principio, debe considerarse que el responsable tiene constancia en cuanto el encargado se lo ha comunicado (Directrices 9/2022, apdo. 44). El RGPD no fija un número de horas para el proveedor.

Por eso el CEPD recomienda que los encargados notifiquen con prontitud y aporten los detalles de forma gradual, y que el contrato especifique cómo se cumple el artículo 33.2, lo que "can include requirements for early notification" (puede incluir requisitos de notificación temprana) (apdos. 45 y 46). El encargado no tiene que evaluar el riesgo antes de avisaros: esa es tarea de la universidad (apdo. 44). El contrato debe además obligar al encargado a ayudar a la universidad con los artículos 32 a 36 (art. 28.3.f).

Análisis de Validemic Si un contrato de encargo concede al proveedor 72 horas o más, el proveedor puede agotar todo el plazo antes de que la universidad lo sepa. Vuestro propio plazo empieza más tarde, pero vuestra autoridad seguirá preguntando por qué la notificación tardó tanto. Introducid el plazo del contrato en el paso 1 para ver si el proveedor lo respetó, y dejadlo anotado. Nuestra guía de respuesta a brechas (en inglés) enumera lo que debe contener la cláusula de brechas de un contrato de encargo, y el verificador de contratos de encargo contrasta un contrato con el artículo 28.3.

¿Estáis evaluando a un proveedor? Validemic contrasta su documentación con el RGPD y el Reglamento de IA e indica la fuente de cada conclusión. Probad el entorno de demostración

¿Hay que notificar una brecha de datos?

Hay tres resultados posibles. Si es improbable que la brecha suponga un riesgo para las personas, se registra pero no se notifica. Si es probable que suponga un riesgo, se notifica a la autoridad de control. Si es probable que suponga un alto riesgo, además se informa a los afectados (art. 34), salvo que se aplique una condición del artículo 34.3. Toda brecha se registra conforme al artículo 33.5.

La ayuda a la decisión del paso 2 sigue los factores que enumera el CEPD en la sección IV de las Directrices 9/2022: el tipo de brecha; la naturaleza, sensibilidad y volumen de los datos; la facilidad para identificar a las personas; la gravedad y duración de las posibles consecuencias; las características especiales de las personas, como los menores; y el número de personas afectadas. Varios puntos de las directrices determinan su resultado:

• Cuando hay categorías especiales de datos o datos penales, los daños "should be considered likely to occur" (deben considerarse probables) (apdo. 102).
• Los datos correctamente cifrados con una clave no comprometida son en principio ininteligibles, así que una brecha de confidencialidad puede no requerir notificación, siempre que exista una copia de seguridad. Sin copias de seguridad adecuadas, puede seguir siendo necesario informar a las personas (apdos. 76 a 79).
• Un destinatario de confianza, como otro departamento o un proveedor conocido que devuelve o suprime los datos, puede eliminar la probabilidad del riesgo (apdo. 114).
• Cuando no se sabe si los datos se copiaron, hay que evaluar "the worse scenario" (el peor escenario) (Directrices 01/2021, apdo. 30).
• "If in doubt, the controller should err on the side of caution and notify" (en caso de duda, el responsable debe pecar de prudente y notificar) (Directrices 9/2022, apdo. 119).

Los ejemplos prácticos del CEPD en las Directrices 01/2021 muestran cómo se combinan los factores:

El artículo 34.3 suprime la obligación de informar a las personas si los datos eran ininteligibles (por ejemplo, porque estaban cifrados), si medidas posteriores hacen que ya no sea probable el alto riesgo o si el contacto individual supone un esfuerzo desproporcionado. En este último caso, hace falta en su lugar una comunicación pública. Nuestra guía de respuesta a brechas (en inglés) aplica estos factores a cuatro escenarios universitarios.

¿Cuáles son los plazos de 24 horas, 72 horas y un mes de NIS2?

Si vuestra universidad es una entidad esencial o importante según la ley nacional de transposición de NIS2, un incidente significativo exige una alerta temprana en las 24 horas siguientes a tener constancia, una notificación del incidente en 72 horas y un informe final a más tardar un mes después de la notificación del incidente (Directiva (UE) 2022/2555, art. 23.4). Se dirigen al CSIRT o a la autoridad competente, no a la autoridad de protección de datos.

Un incidente es significativo si ha causado o puede causar una perturbación operativa grave o pérdidas económicas, o daños considerables a terceros (art. 23.3). Si el incidente sigue en curso cuando vence el informe final, en ese momento hay que presentar un informe de situación, y el informe final en el plazo de un mes desde su gestión (art. 23.4.e). Un mismo ataque de ransomware puede activar ambos regímenes, y los dos plazos pueden empezar en momentos distintos: el de NIS2 cuando se tiene constancia de un incidente significativo; el del RGPD, cuando se sabe que hay datos personales afectados.

Las leyes nacionales añaden detalle. El Centro Nacional de Ciberseguridad sueco, que recibe las notificaciones de la Ley de ciberseguridad a través de su Cyberportal, cuenta las 24 horas desde que la entidad identificó el incidente como notificable. El BSI alemán explica que se tiene constancia cuando un empleado conoce el incidente «(innerhalb der Arbeitszeit)», es decir, durante la jornada laboral. Que una universidad esté incluida varía según el país; véanse NIS2 y las universidades: ¿estáis incluidos? (en inglés) y nuestra página sobre NIS2.

¿Cómo organizan las universidades la notificación de brechas?

Las universidades que cumplen con regularidad las 72 horas facilitan el primer paso: una única dirección o formulario, con comunicación inmediata, sin esperar a tener todos los datos. Cuatro ejemplos:

• El Trinity College Dublin pide a su personal que comunique todas las brechas o sospechas de incidente a su oficina de protección de datos "without delay for assessment" (sin demora, para su evaluación), y afirma que "a data protection breach is not a disciplinary issue" (una brecha de protección de datos no es una cuestión disciplinaria).
• La Universidad de Edimburgo pide a su personal que comunique un incidente "immediately" (de inmediato) por correo al delegado de protección de datos y que complete la parte A de su formulario de evaluación de brechas en las 24 horas siguientes a su descubrimiento.
• La Universidad de Oslo pide a quien trate datos personales por su cuenta que avise de inmediato a su superior, que lo comunica a UiO-CERT mediante un formulario; no hace falta conocer antes todos los hechos.
• La Universidad de Utrecht pide a su personal y a sus estudiantes que comuniquen lo antes posible las sospechas de brecha a su servicio de atención TIC, en una dirección de correo específica o por teléfono en situaciones urgentes.

Análisis de Validemic El hilo común es que comunicar le cuesta poco a quien detecta el problema, y la evaluación se hace de forma centralizada. Importa que el canal de comunicación funcione fuera del horario laboral, porque las 72 horas no se detienen los fines de semana.

¿Va a cambiar el plazo de 72 horas?

Pendiente: la propuesta Ómnibus Digital de la Comisión (COM(2025) 837, procedimiento 2025/0360(COD), 19 de noviembre de 2025) ampliaría a 96 horas el plazo de notificación a la autoridad en el RGPD, lo centraría en las brechas de mayor riesgo y crearía un punto único de entrada para las notificaciones de incidentes de varias normas. A 9 de octubre de 2026, el Observatorio Legislativo del Parlamento Europeo indica que está "Awaiting committee decision" (a la espera de decisión en comisión). Hasta que se adopte y se aplique, planificad con 72 horas. El artículo 33 se explica en nuestra página sobre el RGPD.

Fuentes

Todas las fuentes se consultaron el 9 de octubre de 2026. Las citas en inglés van acompañadas de una traducción entre paréntesis; las citas del RGPD siguen su texto oficial en español.

1. Reglamento (UE) 2016/679 (RGPD), artículos 4.12, 28.3.f), 33 y 34, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj/spa (texto del Diario Oficial consultado a través de la Oficina de Publicaciones de la UE)
2. Directiva (UE) 2022/2555 (NIS2), artículo 23 y considerando 102, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/spa
3. CEPD, Directrices 9/2022 sobre la notificación de violaciones de la seguridad de los datos personales en virtud del RGPD, versión 2.0, adoptadas el 28 de marzo de 2023: edpb.europa.eu, Directrices 9/2022
4. CEPD, Directrices 01/2021 sobre ejemplos de notificación de violaciones de la seguridad de los datos personales, versión 2.0, adoptadas el 14 de diciembre de 2021: edpb.europa.eu, Directrices 01/2021
5. Reglamento (CEE, Euratom) n.º 1182/71 por el que se determinan las normas aplicables a los plazos, fechas y términos, artículos 1 y 3: EUR-Lex, CELEX 31971R1182 (texto original leído a través de legislation.gov.uk, versión adoptada por la UE)
6. Observatorio Legislativo del Parlamento Europeo, procedimiento 2025/0360(COD), Ómnibus Digital: oeil.europarl.europa.eu
7. Páginas de notificación de brechas de las autoridades de control: AEPD, CNPD, IMY, Datatilsynet (Dinamarca), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, APD/GBA, Data Protection Commission, ICO y la lista de autoridades de control alemanas de la Datenschutzkonferenz. No pudimos acceder a datatilsynet.no en la fecha de comprobación.
8. Puntos de notificación NIS2: Suecia, Nationellt cybersäkerhetscenter; Dinamarca, Styrelsen for Samfundssikkerhed; Finlandia, NCSC-FI en Traficom; Países Bajos, NCSC; Alemania, BSI: NIS-2-Meldepflicht; Irlanda, notificación de incidentes al NCSC; Comisión Europea, transposición de NIS2
9. Trinity College Dublin, Data Breach Notification: tcd.ie/dataprotection/databreach
10. Universidad de Edimburgo, Data protection breach and complaints procedure: data-protection.ed.ac.uk/breach-procedure
11. Universidad de Oslo, Avvik ved behandling av personopplysninger: uio.no, personvern, avvik (en noruego)
12. Universidad de Utrecht, Report data breach: uu.nl, report data breach

Sobre esta página

Fuentes verificadas el 9 de octubre de 2026. Leímos el RGPD y NIS2 en las versiones del Diario Oficial publicadas por la Oficina de Publicaciones de la UE, las dos directrices del CEPD completas, el artículo 3 del Reglamento 1182/71, cada página de autoridades y universidades enlazada y la ficha del procedimiento del Parlamento Europeo. La ayuda a la decisión es una simplificación propia de los factores y ejemplos del CEPD. Es una ayuda de cribado y no asesoramiento jurídico; el responsable y su DPD siguen siendo responsables de la evaluación, y el derecho nacional o la práctica de vuestra autoridad pueden añadir requisitos. La lógica de fechas se ha probado con los cambios de horario de verano. Si un enlace ha cambiado o detectáis un error, escribidnos y lo corregiremos.