5La respuesta institucional: notificaciones a afectados, actuaciones de la AEPD y transparencia sobre los ataques
El marco es nítido sobre el papel: el RGPD obliga a notificar una brecha a la AEPD en un máximo de 72 horas y a avisar a los afectados solo cuando el riesgo es alto. En la práctica, la Administración española tiende a quedarse en el primer paso y, a veces, ni en ese. Los registros de la propia Agencia lo ilustran: en 2025 recibió más de 2.700 notificaciones de brechas y, solo en octubre, de las 289 comunicadas, 51 procedían de organismos públicos; 113 entidades dijeron haber avisado a unos 56,7 millones de personas, mientras 56 declararon que no informarían a nadie. El patrón viene de lejos: en la filtración del Servicio Navarro de Empleo de 2019, con unos 99.215 afectados, se optó por no comunicar nada a los interesados al considerar que no existía riesgo elevado.
Cuando la AEPD actúa, su margen es estrecho: a las administraciones no se les impone multa económica, sino apercibimiento y medidas correctoras. El SEPE acumula varios, por el ransomware de 2021 —falta de medidas de seguridad y notificación tardía—, por los más de 700 correos enviados sin copia oculta en 2022 que no se comunicaron ni a la Agencia ni a los ciudadanos, y por permitir ver datos de un tercero al descargar un certificado. La transparencia llega por otras vías: comunicados que minimizan el alcance (Justicia cifró en menos de cinco horas la corrección del fallo de LexNet), desmentidos cuando el material a la venta no es real (Hacienda no halló rastro de la base de 47,3 millones de ciudadanos anunciada en un foro) y preguntas parlamentarias, mientras la respuesta policial se resolvió con la detención en Calpe, en febrero de 2025, de un joven de 18 años acusado de atacar unas 40 entidades, entre ellas el SEPE, Educación y Defensa.
