Cuando una empresa pierde el control de tus datos (un ataque, un empleado que se los lleva, un correo enviado a quien no debía), tiene que notificarlo a la AEPD en 72 horas y avisarte a ti sin dilación si el riesgo para tus derechos es alto (arts. 33 y 34 RGPD). Tú puedes exigirle saber exactamente qué datos se han filtrado, a quién y qué está haciendo para evitar el daño; puedes reclamar a la AEPD, que sanciona; y tienes derecho a una indemnización si la filtración te ha causado un daño, incluido el temor fundado a que se usen tus datos, según el Tribunal de Justicia de la UE. Lo primero, en las primeras horas, es cerrar las puertas que la filtración abre.
Las primeras 48 horas: protegerte
- Averigua qué se ha filtrado: pide a la empresa, por escrito y por derecho de acceso (art. 15 RGPD), la lista de datos afectados, la fecha, la causa y las medidas adoptadas. Tiene un mes, pero en una brecha con riesgo alto la obligación de informarte «sin dilación indebida» es inmediata.
- Si hay contraseñas: cámbialas en ese servicio y en todos los que la repitieran; activa la verificación en dos pasos.
- Si hay DNI, cuenta bancaria o tarjeta: avisa a tu banco para vigilar operaciones, pide tu informe a los ficheros de solvencia (ASNEF-Equifax, Badexcug-Experian) a los tres meses para detectar contratos a tu nombre, y desconfía de cualquier llamada o SMS que use los datos filtrados (es lo que viene después: phishing «personalizado»).
- Guarda la comunicación de la brecha y las noticias sobre ella: son la prueba de la infracción y de su alcance.
Lo que la empresa está obligada a hacer
| Obligación | Plazo | Si no lo hace |
|---|---|---|
| Notificar la brecha a la AEPD, salvo que sea improbable que suponga un riesgo | 72 horas desde que la conoce (art. 33) | Infracción sancionable por sí misma |
| Comunicártela a ti, en lenguaje claro, con las medidas que puedes tomar, si el riesgo es alto | Sin dilación indebida (art. 34) | Infracción leve, que pasa a grave si no lo hace tras requerírselo la autoridad de protección de datos (arts. 74.ñ y 73.s LOPDGDD); la AEPD puede ordenarle que lo haga (art. 34.4 RGPD) |
| Documentar la brecha, sus efectos y las medidas correctivas | Registro interno (art. 33.5) | La AEPD lo requiere en la inspección |
| Haber tenido medidas de seguridad adecuadas al riesgo antes de la brecha | Siempre (art. 32) | Es lo que fundamenta la sanción y la indemnización: una brecha no es infracción por sí sola; la falta de medidas, sí |
Una brecha no prueba por sí sola que las medidas de la empresa fueran inadecuadas, pero en una reclamación de daños es ella quien tiene que probar que eran apropiadas (STJUE de 14 de diciembre de 2023, C-340/21). Fallos habituales: contraseñas sin cifrar, sistemas sin actualizar, empleados con acceso a todo, proveedores sin contrato de encargado. Si la AEPD lo investiga, sus resoluciones (que publica) dicen qué falló: esa resolución es la mejor prueba para tu reclamación.
La indemnización: lo que ha dicho el Tribunal de Justicia
El art. 82 del RGPD da derecho a indemnización por daños materiales o inmateriales a quien los sufra por una infracción del Reglamento. Entre 2023 y 2024 el TJUE ha fijado las reglas: no hace falta que el daño alcance un umbral de gravedad, pero hay que probar que existe (sentencia de 4 de mayo de 2023, C-300/21); el temor fundado a que los datos filtrados se usen de forma abusiva puede ser, por sí mismo, un daño inmaterial indemnizable (14 de diciembre de 2023, C-340/21); que haya habido un ataque de terceros no exime a la empresa si no prueba que sus medidas eran adecuadas (misma sentencia); y la indemnización tiene función compensatoria, no punitiva, de modo que se calcula por el daño real y no por la gravedad de la infracción (25 de enero de 2024, C-687/21; en el mismo sentido, 11 de abril de 2024, C-741/21, y 20 de junio de 2024, C-590/22). En España se reclama ante los tribunales civiles. No hay baremo: la cuantía depende del daño que pruebes, y suele ser mayor cuando la filtración ha dado lugar a estafas o a contratos a tu nombre, o afecta a datos de salud o sexuales.
Las dos reclamaciones, y en qué orden
- A la AEPD: gratuita, sin abogado obligatorio, con la comunicación de la brecha y tu petición de información. La Agencia inspecciona y sanciona; su resolución declara la infracción. La admisión a trámite se decide en tres meses; las actuaciones previas pueden durar hasta dieciocho meses y el procedimiento sancionador, doce desde el acuerdo de inicio (arts. 65.5, 67.2 y 64.2 LOPDGDD).
- En el juzgado civil: la demanda del art. 82 contra el responsable (y el encargado, si la brecha fue suya), con la resolución de la AEPD o con las pruebas de la falta de medidas. Se puede ir directamente, sin esperar a la AEPD, pero la resolución ayuda. En brechas masivas, las reclamaciones se acumulan y se negocian en bloque: es lo que hacemos en reclamaciones colectivas.
Nuestro precio publicado: ejercicio de derechos, reclamación ante la AEPD y seguimiento hasta la resolución, 390 €, IVA incluido. Si la filtración te ha causado un daño acreditable, valoramos la demanda del art. 82 y, cuando hay muchos afectados, la reclamación conjunta.
Preguntas que nos hacéis cada semana
Me ha llegado un correo de una empresa diciendo que han filtrado mis datos. ¿Es real?
Puede serlo (es la comunicación obligatoria del art. 34) o ser un phishing que aprovecha la noticia. No pulses enlaces del correo: entra en la web de la empresa escribiendo tú la dirección, o llama al teléfono oficial, y comprueba si la AEPD o la prensa han informado de la brecha.
¿Puedo reclamar aunque no me hayan robado nada todavía?
Sí. El TJUE admite como daño el temor fundado al uso abusivo, pero hay que acreditarlo (qué datos, qué riesgo real, qué te ha supuesto: tiempo, gestiones, ansiedad). Cuanto más sensible el dato, más fácil.
¿La empresa puede negarse a decirme qué datos se filtraron?
No. El derecho de acceso te da derecho a conocer tus datos y las circunstancias del tratamiento, y el art. 34 le obliga a describirte la naturaleza de la brecha. La negativa es una infracción añadida que se reclama a la AEPD.
¿Y si la brecha es de una administración (Seguridad Social, un ayuntamiento, un hospital público)?
Mismas obligaciones. La AEPD, o la autoridad autonómica de protección de datos si es competente (art. 57 LOPDGDD), no le impone multa: declara la infracción y le ordena las medidas para corregirla (art. 77.2 LOPDGDD). El daño se reclama por responsabilidad patrimonial de la administración: un año desde el hecho o desde que se manifiesta su efecto lesivo (art. 67.1 Ley 39/2015).
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ El derecho de acceso y los demás derechos
→ Reclamar ante la AEPD y cobrar la indemnización
→ Si han contratado cosas con tus datos filtrados
→ Si la filtración ha acabado en un phishing
→ ¿Merece la pena reclamar? Números y tiempos
Marco legal: arts. 5.1.f, 15, 32, 33, 34, 77, 79 y 82 del RGPD · arts. 37, 57, 64, 65, 67, 73, 74 y 77 de la Ley Orgánica 3/2018 (LOPDGDD) · STJUE de 4 de mayo de 2023 (C-300/21), de 14 de diciembre de 2023 (C-340/21), de 25 de enero de 2024 (C-687/21), de 11 de abril de 2024 (C-741/21) y de 20 de junio de 2024 (C-590/22) · art. 32 de la Ley 40/2015 y art. 67 de la Ley 39/2015 (responsabilidad patrimonial). Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.