Paso 1: contener
Cambia contraseñas, cierra sesiones abiertas, pide al destinatario equivocado que borre el correo, bloquea o borra en remoto el dispositivo perdido.
Paso 2: evaluar el riesgo
¿Qué datos se han visto afectados? ¿De cuántos pacientes? ¿Estaban cifrados? Un portátil cifrado perdido supone mucho menos riesgo que uno sin cifrar.
Paso 3: notificar a la AEPD
Si la brecha supone un riesgo para los derechos de los pacientes, debes notificarla a la Agencia Española de Protección de Datos en un máximo de 72 horas desde que la conoces, a través de su sede electrónica.
Paso 4: informar a los pacientes
Si el riesgo es alto (por ejemplo, notas clínicas sin cifrar expuestas), informa a los pacientes afectados con claridad y sin demora.
Paso 5: documentarlo
Anota qué pasó, qué datos se vieron afectados, qué hiciste y qué cambias para que no se repita. Debes documentar todas las brechas, aunque no las notifiques.
Que un despiste no se convierta en una brecha
Con la información clínica cifrada, un dispositivo perdido no expone tus notas.
Preguntas frecuentes
¿Tengo que notificar todas las brechas?+
A la AEPD, solo las que supongan un riesgo para los afectados. Pero todas deben quedar documentadas.
¿Qué pasa si los datos estaban cifrados?+
El cifrado reduce mucho el riesgo y puede evitar tener que informar a los pacientes, aunque debes valorarlo caso a caso.
Contenido informativo y general sobre seguridad y protección de datos. No es asesoramiento jurídico. Última revisión: octubre de 2026.