Jorge Cabet. Managing Partner. Cabet Abogados
Recientemente la Agencia Española de Protección de Datos ha publicado una nota de prensa acerca de las brechas de seguridad notificadas a la autoridad. La Agencia recibió 2.765 notificaciones de brechas en 2025. De estas, el 80% procedía del sector privado y el 20% del sector público. Solo 11 de las 2.765 notificaciones (menos del 0,4%) se trasladaron a investigación adicional por tratarse de brechas severas con indicios de falta de diligencia. Los responsables emitieron más de 200 millones de comunicaciones a personas afectadas por existencia de alto riesgo.
Las brechas que afectaron a mayor número de personas fueron las relacionadas con ataques de ransomware e intrusiones con exfiltración masiva de datos. Destacan especialmente los ciberataques a encargados del tratamiento, particularmente a grandes plataformas CRM. La vía de entrada habitual fue el acceso a VPNs corporativas o aplicaciones web mediante credenciales comprometidas, siendo el segundo factor de autenticación la medida más eficaz para prevenirlo. No todas las brechas fueron ciberincidentes: también hubo envíos a destinatarios incorrectos y exposición accidental de datos.
Pero visto todo esto, surgen cuestiones interesantes, como esas 11 notificaciones que se han trasladado a investigación adicional.
Hablemos de la prueba de alcoholemia. Dice nuestro Tribunal Constitucional que la prueba de alcoholemia que realizan las autoridades gubernativas es solamente “la verificación de una pericia técnica de resultado incierto” y que no entraña en ningún caso una declaración autoincriminatoria de la persona afectada; no es lo mismo obligar a alguien a declarar que obligar a que alguien tolere pasivamente una comprobación objetiva de “resultado incierto”. Esta es la razón fundamental por la que actualmente se nos puede sancionar conforme a un aparato que dice que nuestro cuerpo supera unos determinados umbrales de alcohol en sangre y negarnos supone un castigo casi equivalente o mayor, puesto que el resultado es incierto.
Desde el punto de vista de la protección de datos y de la norma que crea el artículo 33 del archiconocido Reglamento Europeo de Protección de Datos no estamos muy lejos de esto de la declaración autoincriminatoria. Este artículo impone a los responsables del tratamiento de datos la obligación de notificar a la autoridad que sanciona cualquier brecha de seguridad en un plazo determinado, indicando la naturaleza del incidente, las categorías de datos afectados, las consecuencias probables y las medidas sanadoras adoptadas o propuestas.
El responsable del tratamiento no se somete a una pericia técnica de resultado incierto practicada por la autoridad, sino que elabora y presenta una declaración que documenta un incidente cuya existencia puede constituir, en sí misma, una prueba indiciaria de incumplimiento de una norma. El deber de notificación, en este sentido, se aproxima más a una confesión estructurada y fundamentada que a una mera tolerancia pasiva.
La posible tensión constitucional se agudiza cuando consideramos que el articulado de la norma de cabecera prevé sanciones millonarias y que la propia brecha notificada puede evidenciar deficiencias que fundamenten la apertura de un procedimiento sancionador.
Existe aquí un paralelismo invertido con la doctrina del Tribunal Constitucional sobre la alcoholemia: mientras en aquel caso el resultado de la prueba puede ser favorable o no para el conductor, en el caso de la notificación de brechas el resultado es intrínsecamente desfavorable, pues solo se notifica cuando ya ha habido una brecha. Cuando una empresa notifica una brecha, está comunicando un hecho consumado cuya mera existencia podría acarrear una responsabilidad administrativa enorme, lo que plantea serias dudas sobre la obligación de una nutrida declaración sofisticada autoincriminatoria que podría ser inconstitucional.
Puede argumentarse que la obligación de notificar brechas persigue fines legítimos de interés general, como la protección de los derechos de los afectados y la cooperación con las autoridades de control, del mismo modo que la prueba de alcoholemia protege la seguridad vial. La propia Agencia Española de Protección de Datos señala que notificar en tiempo y forma es evidencia de diligencia, no un reconocimiento de culpa. No obstante, esta lógica de la denominada “responsabilidad proactiva” no elimina la tensión con el derecho a la no autoincriminación cuando la información proporcionada puede utilizarse directamente y usando la misma información que facilita el responsable del tratamiento como fundamento de una sanción.
La solución podría pasar por establecer -como se ha sugerido a veces en cierta doctrina del ámbito tributario- una separación funcional entre la información obtenida mediante notificaciones obligatorias y la que puede utilizarse en procedimientos sancionadores posteriores, o al menos garantizar que el cumplimiento diligente de la obligación de notificar opere como circunstancia atenuante cualificada, no meramente como ausencia de agravante. Sin esa salvaguarda, el sistema actual exige al responsable del tratamiento que elija entre cumplir su obligación legal de transparencia o ejercer su derecho fundamental a no contribuir a su propia incriminación, una disyuntiva que recuerda precisamente aquella que el Tribunal Constitucional rechazó cuando declaró constitucional el delito de negativa a someterse a la prueba de alcoholemia.
Los operadores jurídicos vemos con inquietud un desplazamiento cada vez mayor de los deberes de policía en otros operadores que no tienen obligación de ser sheriffs. La doctrina civil del buen padre de familia se está extendiendo de otra manera en las sociedades a través de un modelo abstracto de conducta siguiendo arquetipos de denuncia de operaciones sospechosas y declaraciones sobre uno mismo que a veces rozan lo abusivo y contrarían no ya principios generales, sino derechos fundamentales.
La obligación de declarar mecanismos de planificación fiscal potencialmente agresiva a los intermediarios, que son principalmente asesores fiscales, abogados, consultores o entidades financieras es un buen ejemplo de obligaciones que no deberían establecerse. La función de policía no debería ser una función distribuida en el enjambre social, sino una institución independiente con reglas propias y que aporte seguridad en ambas perspectivas de previsibilidad y cognoscibilidad.
