Alba Gómez. asesora en cumplimiento normativo en materia de protección de datos personales (RGPD y LOPDGDD) en PONTI&PARTNERS
A inicios de enero, Endesa anunció que había sido víctima de un ciberataque que había comprometido los datos personales de sus clientes, entre ellos datos identificativos, documentos de identidad y datos bancarios.
| |
 |
|
| |
Alba Gómez, graduada en Derecho y Criminología por la Universitat de València, con formación complementaria a través de cursos de especialización, entre los que destaca el de Protección de Datos por Universidad Católica de Ávila. |
|
| |
|
|
Inicialmente, puede pensarse que este tipo de ataque es un hecho aislado, pero la realidad es bien distinta. La Agencia Española de Protección de Datos, en un informe publicado recientemente, anuncia que durante el año 2025 recibió 2.765 notificaciones de brechas de datos personales. Sin olvidar que, durante 2024, la Agencia ya multó a Endesa por vulnerar 5 artículos del RGPD.
La lectura, en todo caso, es clara: pone de manifiesto el valor de los datos personales como objetivo para los ciberdelincuentes. El robo de datos es cada vez más habitual, con la intención de venderlos posteriormente en mercados ilegales y su utilización con finalidades de extorsión.
Por lo tanto, cumplir con la normativa vigente de protección de datos va mucho más allá de un deber. Se trata de una tarea esencial para cualquier entidad, pequeña o grande. Las brechas de seguridad no hacen distinciones y tampoco sus consecuencias legales.
¿Cuáles son las obligaciones legales de una entidad afectada?
Tras una brecha de seguridad, la entidad responsable está obligada a contenerla mediante el bloqueo preventivo de las cuentas con accesos comprometidos y evaluar el riesgo que suponga para los derechos y libertades de los clientes afectados, adoptando las medidas necesarias.
Por otra parte, el artículo 33 del Reglamento General de Protección de Datos (RGPD) establece la obligación de notificar el incidente a la autoridad de control competente, la AEPD en España, en plazo máximo de 72 horas. Se trata de una obligación de la responsabilidad proactiva del responsable del tratamiento de datos. Es importante destacar que notificar en tiempo y forma es una evidencia de la diligencia de la organización. Algunas de las brechas notificadas a la AEPD fueron investigadas adicionalmente al apreciarse indicios de falta de esa diligencia de la organización afectada.
Al mismo tiempo que se notifica a la autoridad competente, se debe informar a los afectados cuando exista un riesgo significativo mediante comunicación personalizada (tal como hizo Endesa a través de los mensajes masivos que envió a clientes). La AEPD, en su informe, indica que se emitieron más de 200 millones de comunicaciones por existencia de alto riesgo. La comunicación es un elemento clave en la diligencia del responsable y su no existencia es motivo de inspección por parte de la AEPD.
Por último, y no menos importante, la empresa que ha sufrido el ataque debe adoptar las medidas correctoras para evitar que este tipo de incidente pueda volver a producirse.
Riesgos
Los riesgos existentes detrás de un ciberataque van más allá de la interrupción del servicio de la compañía, pues pueden dar lugar a sanciones económicas por incumplimiento del Reglamento General de Protección de Datos y a un grave daño reputacional. Una incorrecta gestión de la situación conllevará la pérdida de confianza de miles de clientes, afectando a su imagen de marca.
Por su parte, las personas afectadas pueden enfrentarse a serios problemas como la suplantación de su identidad, fraudes económicos o la difusión o uso indebido de información sensible.
En su comunicado, la AEPD describe que las brechas que han afectado a un número superior de personas han sido las relacionadas con ciberincidentes tipo ransomware o intrusiones en sistemas de información. Aunque otras brechas frecuentes han sido los relacionados con “errores humanos”, en envíos de datos a destinatarios incorrectos o mostrando datos personales por error.
Esto lleva a la pregunta: ¿Podría ocurrirle a cualquier empresa? Ya hemos visto que sí, independientemente del tamaño, se trata de un problema que puede afectar tanto a pymes como medianas empresas. La causa se encuentra en diversos factores, como la falta de protocolos adecuados, la ausencia de formación del personal o deficiencias en las medidas de seguridad implantadas.
Qué hacer si es un cliente afectado
En primer lugar, revisar si ha recibido una notificación de Endesa para verificar si su información se ha visto afectada. Acto seguido, comprobar los movimientos de la cuenta bancaria vinculada a la empresa y reclamar cualquier cargo no conocido.
Bajo ningún concepto se debe abrir enlaces sospechosos relacionados con el incidente, siendo preferible acceder mediante la web oficial. Y, por último, podría ser recomendable cambiar la contraseña asociada, sobre todo si se utiliza en otros portales o gestiones.
Conclusión
Como podemos ver, la prevención y la gestión de incidentes es clave; y la ciberseguridad y la protección de datos deben ir de la mano, por lo que una adecuada protección requiere un enfoque integral que combine análisis de riesgos, medidas técnicas y organizativas, protocolos de actuación y una revisión periódica y continua para su mejora.
La protección de datos no es una opción ni un trámite documental, sino una responsabilidad legal y una exigencia de mercado. Invertir en prevención, asesoramiento y una correcta gestión de los riesgos reduce la probabilidad de sanciones, refuerza la confianza de los clientes y fortalece la credibilidad e imagen de la empresa.
