# Brecha de datos en tu tienda online: qué hacer en 72 horas

> Brecha de datos en tu tienda online: cuándo notificar a la AEPD (arts. 33 y 34 RGPD), Asesora Brecha, qué decir a tus clientes y qué parte técnica necesitas.

URL: https://webintacta.com/guias/brecha-datos-tienda-online-rgpd
Última actualización: 2026-10-13

**En resumen:** Si un atacante ha podido ver o copiar datos de clientes de tu tienda, el RGPD obliga a notificarlo a la AEPD en 72 horas desde que lo sabes, salvo que no haya riesgo para las personas (art. 33), y a avisar a los clientes si el riesgo es alto (art. 34). Esta guía ordena esas horas: contener, valorar el riesgo con la herramienta Asesora Brecha y notificar. La limpieza de tienda de WebIntacta (349 €) incluye orientación técnica para esa notificación.


Por Jose Soriano (WebIntacta) · publicada el 2026-10-08

Si te han hackeado la tienda y el atacante ha podido ver o copiar datos de clientes, además del problema técnico tienes uno legal con reloj: 72 horas para notificarlo a la Agencia Española de Protección de Datos si hay riesgo para las personas. Esta guía ordena lo que hay que hacer en esas horas, desde el punto de vista de quien hace la parte técnica.

> Esto no es asesoramiento jurídico. Soy desarrollador y técnico de seguridad, no abogado. Lo que sigue resume lo que dicen el RGPD y la AEPD en sus páginas oficiales, enlazadas al final; para decidir en tu caso concreto, apóyate en tu asesor o en tu delegado de protección de datos.

## Qué es una brecha de datos

Según la AEPD, una brecha de datos personales es un incidente de seguridad que causa la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados. En una tienda online, los casos típicos son:

- Un **skimmer** en el checkout que copia tarjetas, nombres y direcciones ([cómo se detecta](https://webintacta.com/guias/robo-de-tarjetas-tienda-online)).
- Un atacante que ha accedido a la **base de datos** de clientes y pedidos, aunque no sepas si la ha descargado.
- Un **módulo o plugin vulnerable** que exponía datos de clientes o pedidos a cualquiera.
- Una **copia de seguridad** de la base de datos accesible públicamente en el servidor.
- Un **ransomware** que cifra la tienda y deja los datos inaccesibles, aunque no se los lleve.

## Las 72 horas: cuándo empiezan y qué obligan

El [artículo 33 del RGPD](https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807) dice que el responsable del tratamiento (tú, como dueño de la tienda) notificará la brecha a la autoridad de control **sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella**, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Cuatro detalles importantes:

- Las 72 horas cuentan **desde que tienes constancia**, no desde que termina la limpieza ni desde que conoces todos los detalles.
- Si no llegas a tiempo, se puede notificar más tarde, pero **explicando los motivos del retraso**.
- Si no tienes toda la información, se puede dar **por fases**: una primera notificación y ampliaciones después.
- Aunque decidas que no hay riesgo y no notifiques, tienes que **documentar la brecha** (qué pasó, sus efectos y las medidas tomadas). Esa documentación es la que demuestra que lo valoraste.

Si tu agencia, tu hosting o tu desarrollador gestionan la tienda y detectan la brecha, son **encargados del tratamiento** y deben avisarte a ti sin dilación. La notificación a la AEPD te corresponde a ti.

En el sector privado, notificas a la AEPD si tu único establecimiento está en España o si el principal de la Unión Europea está aquí. Si no tienes establecimiento en la UE, a la AEPD solo si hay afectados en España.

## Hora 0 a 24: contener y saber qué ha pasado

1. **Corta la fuga**: desactiva el método de pago afectado, pon la tienda en mantenimiento o bloquea el acceso que está usando el atacante.
2. **Guarda pruebas** antes de limpiar: copia completa de archivos, base de datos y logs del servidor. Muchos hostings solo guardan los logs unos días.
3. **Cambia credenciales**: back-office, hosting, base de datos, pasarela de pago.
4. **Apunta la hora en que tuviste constancia** y todo lo que vayas sabiendo, con fecha. Es el principio del registro que exige el artículo 33.
5. **Avisa a tu pasarela o banco** si hay tarjetas implicadas.

## Hora 24 a 48: valorar el riesgo

Con la parte técnica avanzada, toca responder las preguntas que pide la notificación: qué datos (identificativos, de contacto, de pago, contraseñas), de cuántas personas aproximadamente, desde cuándo y con qué consecuencias posibles. No hace falta tenerlo todo cerrado para notificar.

Para decidir si hay que notificar, la AEPD ofrece **[Asesora Brecha](https://www.aepd.es/guias-y-herramientas/herramientas/asesora-brecha)**, una herramienta gratuita que te guía con preguntas. La propia AEPD aclara que los datos que introduces se borran al terminar y que es una ayuda: la decisión sigue siendo del responsable.

Como orientación técnica: el robo de datos de tarjeta, de contraseñas o de datos que permitan suplantar a alguien casi nunca será «improbable que suponga un riesgo». Una base de datos de clientes expuesta, tampoco.

## Hora 48 a 72: notificar a la AEPD

La notificación se hace **por vía electrónica** con el [formulario de notificación de brechas de datos personales de la sede electrónica de la AEPD](https://sedeaepd.gob.es/sede-electronica-web/vistas/infoSede/nbs/guiadoBrechasInicio.jsf). Según el artículo 33.3, debe incluir como mínimo:

- La **naturaleza de la brecha**, con las categorías y el número aproximado de personas y de registros afectados.
- El nombre y contacto del **delegado de protección de datos** o de otro punto de contacto.
- Las **posibles consecuencias**.
- Las **medidas tomadas o propuestas** para ponerle remedio y mitigar sus efectos.

La AEPD recuerda que notificar no supone necesariamente que se abra un procedimiento, y que hacerlo en tiempo y forma es una muestra de diligencia; no hacerlo cuando corresponde sí es una infracción. Tiene también una [guía para la notificación de brechas](https://www.aepd.es/documento/guia-brechas-seguridad.pdf) con ejemplos.

## Qué decir a tus clientes

El [artículo 34 del RGPD](https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807) obliga a comunicar la brecha a los afectados, sin dilación indebida, **cuando sea probable que suponga un riesgo alto** para ellos. Para decidirlo, la AEPD tiene otra herramienta: **[Comunica-Brecha RGPD](https://www.aepd.es/guias-y-herramientas/herramientas/comunica-brecha-rgpd)**.

Según la AEPD, la comunicación debe ir en lenguaje claro, dirigida a las personas afectadas, preferiblemente de forma directa (correo electrónico, teléfono, SMS o correo postal), e incluir como mínimo:

- Contacto del delegado de protección de datos o de un punto de contacto.
- Descripción general del incidente y cuándo ocurrió.
- Sus posibles consecuencias.
- Qué datos están afectados.
- Qué has hecho hasta ahora para controlar los daños.
- Recomendaciones para que puedan protegerse: por ejemplo, avisar a su banco y vigilar los cargos si hay tarjetas, cambiar la contraseña si se reutilizaba en otros sitios, desconfiar de correos que usen sus datos de pedido.

El artículo 34.3 prevé casos en los que no hace falta comunicarlo: si los datos estaban protegidos de forma que sean ininteligibles para quien no esté autorizado (por ejemplo, cifrados), si has tomado medidas que eliminan el riesgo alto, o si supone un esfuerzo desproporcionado, en cuyo caso se sustituye por una comunicación pública igual de eficaz.

> Escribe el aviso a los clientes con el informe técnico delante. Decir «no se ha accedido a datos de pago» y descubrir después un skimmer es peor que esperar unas horas a tenerlo claro.

## La parte técnica que necesitas

Para notificar bien hace falta un informe técnico que responda, con pruebas:

- **Por dónde entraron** (el módulo o plugin vulnerable, la credencial robada) y **desde cuándo** había acceso.
- **Qué datos estaban al alcance**: qué tablas, qué campos, si había datos de tarjeta (en una tienda bien montada no deberían guardarse) y cuántos registros.
- **Qué se llevó o pudo llevarse**: logs de acceso, peticiones a la base de datos, scripts que enviaban datos fuera y a qué dominio.
- **Qué se ha hecho**: limpieza, cierre de la entrada, cambio de credenciales, medidas para que no vuelva a pasar.

Si todavía no sabes si la tienda está comprometida, el [análisis gratuito](https://webintacta.com/analisis-seguridad-web-gratis) es un primer filtro desde fuera, aunque no sustituye a la revisión por dentro: para eso está la [auditoría de seguridad web](https://webintacta.com/auditoria-seguridad-web), que revisa archivos, base de datos y usuarios con un conector de solo lectura. El informe técnico es lo que entrego al terminar una [limpieza de PrestaShop hackeado](https://webintacta.com/prestashop-hackeado) o de una tienda WooCommerce, redactado para que tu asesor pueda usarlo en la notificación. Los pasos técnicos de la limpieza están en [qué hacer si hackean tu PrestaShop](https://webintacta.com/guias/prestashop-hackeado-que-hacer) y en [cómo recuperar una web hackeada](https://webintacta.com/guias/recuperar-web-hackeada).

## Otros avisos

- **Pasarela de pago o banco**: si hay tarjetas implicadas, tienen sus propios procedimientos y pueden exigirte un análisis.
- **Denuncia**: si ha habido robo de datos o fraude, puedes denunciarlo ante la Policía Nacional, la Guardia Civil o la policía autonómica que corresponda.
- **INCIBE**: el [017, Tu Ayuda en Ciberseguridad](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad), es un servicio gratuito y confidencial que también atiende a empresas.

## Si vendes en Latinoamérica

Cada país tiene su ley y su autoridad; esto es solo una orientación para empezar a buscar. En **México**, desde marzo de 2025 hay una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares y la supervisión pasó del INAI a la **Secretaría Anticorrupción y Buen Gobierno**. En **Colombia**, la autoridad es la **Superintendencia de Industria y Comercio (SIC)**, y su guía indica que los incidentes de seguridad se reportan en el Registro Nacional de Bases de Datos dentro de los 15 días hábiles siguientes a conocerlos. Confírmalo con un profesional local.

## Si necesitas la parte técnica

Si la brecha viene de un hackeo de la tienda, la limpieza de PrestaShop o WooCommerce cuesta 349 € (IVA no incluido) e incluye la orientación sobre la notificación y un informe de lo que había, desde cuándo y qué se hizo. Con prioridad sobre el resto de trabajos: +100 €. La limpieza tiene 90 días de garantía. Más información en [limpieza de PrestaShop hackeado](https://webintacta.com/prestashop-hackeado), [limpieza de WordPress hackeado](https://webintacta.com/limpieza-malware-wordpress) (WooCommerce es un plugin de WordPress) y [seguridad WooCommerce](https://webintacta.com/seguridad-woocommerce).

## Fuentes

- [Reglamento (UE) 2016/679, RGPD, artículos 33 y 34](https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807) (BOE).
- [AEPD: notificación de brechas de datos personales a la autoridad de control](https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/brechas-de-datos-personales-notificacion).
- [AEPD: comunicación de brechas de datos personales a los interesados](https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/comunicacion-de-brechas-de-datos).
- [AEPD: Asesora Brecha](https://www.aepd.es/guias-y-herramientas/herramientas/asesora-brecha) y [Comunica-Brecha RGPD](https://www.aepd.es/guias-y-herramientas/herramientas/comunica-brecha-rgpd).
- [AEPD: guía para la notificación de brechas de datos personales](https://www.aepd.es/documento/guia-brechas-seguridad.pdf).
- [INCIBE: Tu Ayuda en Ciberseguridad (017)](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad).

## Preguntas frecuentes

### ¿Tengo que notificar una brecha de datos a la AEPD?

Si es probable que suponga un riesgo para los derechos y libertades de las personas, sí, sin dilación indebida y, si es posible, en 72 horas desde que tienes constancia. Si no hay riesgo, no se notifica, pero hay que documentarla. La herramienta Asesora Brecha de la AEPD ayuda a decidirlo.

### ¿Cómo se notifica una brecha a la AEPD?

Por vía electrónica, con el formulario de notificación de brechas de datos personales de la sede electrónica de la AEPD. Se puede hacer por fases si aún no tienes toda la información.

### ¿Qué pasa si no llego a las 72 horas?

El RGPD permite notificar más tarde, pero la notificación debe explicar los motivos del retraso. No notificar cuando corresponde es una infracción.

### ¿Tengo que avisar a mis clientes de la brecha?

Cuando sea probable que suponga un riesgo alto para ellos, sí (artículo 34 del RGPD), en lenguaje claro y con un contenido mínimo. La herramienta Comunica-Brecha RGPD de la AEPD ayuda a decidirlo.

### ¿Quién notifica si la tienda la lleva una agencia?

Tú, como responsable del tratamiento. La agencia o el hosting, como encargados, deben avisarte sin dilación cuando detectan la brecha.

## Sobre el autor

[Jose Soriano](https://webintacta.com/quien-soy): Desarrollador fullstack especializado en PrestaShop, WordPress y WooCommerce, con el curso y el examen oficiales de PrestaShop aprobados. Desarrolla tiendas online y módulos desde 2023 y es el fundador de WebIntacta, el servicio de seguridad web con el que analiza, limpia y mantiene él mismo webs de pymes y tiendas online, en remoto desde Ibi (Alicante). Datos de WebIntacta: https://webintacta.com/quien-soy#datos