La AEPD supera las 3.000 notificaciones de brechas de seguridad en el primer semestre de 2026

La Agencia Española de Proteccion de Datos recibio mas de 3.000 notificaciones de brechas de seguridad en el primer semestre de 2026, una cifra que supera las comunicadas en el conjunto de 2025 y que refleja el aumento de ciberincidentes y otros supuestos con posible riesgo para los derechos y libertades de las personas, segun recoge el Boletin Informativo n.º 50 de la Agencia, correspondiente a noviembre de 2026.

El dato confirma una tendencia sostenida: la obligacion de notificar las brechas al amparo del RGPD se ha convertido en una via de conocimiento privilegiada del estado real de la ciberseguridad en las organizaciones españolas, y el volumen de comunicaciones sigue creciendo año tras año.

El contexto del dato

Que las notificaciones del primer semestre de 2026 superen ya las de todo 2025 no significa necesariamente que las organizaciones españolas sufran el doble de incidentes. El crecimiento sostenido de las comunicaciones responde a una combinacion de factores: la mayor concienciacion de los responsables del tratamiento sobre su obligacion de notificar, la multiplicacion real de los ciberincidentes —con el ransomware y la suplantacion como vectores dominantes en los ultimos años— y la progresiva interiorizacion de que no notificar una brecha notificable agrava la responsabilidad del responsable.

Para los profesionales que asesoran en proteccion de datos, la cifra agregada tiene una lectura de cumplimiento: la brecha de seguridad ha dejado de ser un escenario excepcional para convertirse en un supuesto estadisticamente esperable, lo que desplaza el foco desde el «si ocurrira» al «como se gestionara cuando ocurra». Los planes de respuesta a incidentes, las simulaciones y la preasignacion de responsabilidades internas pasan a ser tan estandar como la evaluacion de impacto.

Que exige la gestion de una brecha

El procedimiento que el RGPD impone cuando se produce una brecha es conocido, pero su ejecucion en tiempo real sigue siendo el punto debil de muchas organizaciones. La primera decision es la valoracion del riesgo para los derechos y libertades de los afectados: solo si existe riesgo procede la notificacion a la autoridad de control, en principio en el plazo de 72 horas desde que se tiene constancia, y solo si el riesgo es alto procede ademas la comunicacion a los interesados. La segunda es la documentacion: aun cuando se concluya que la brecha no es notificable, el responsable debe conservar el registro del incidente y de su analisis, porque la carga de acreditar la decision ante una inspeccion recae sobre el.

La Agencia ha insistido reiteradamente en que una notificacion tardia o incompleta no cierra el expediente: la autoridad puede pedir informacion complementaria, y la gestion deficiente de una brecha es en si misma un factor agravante. El volumen creciente de comunicaciones sugiere, por tanto, tambien un volumen creciente de trabajo de supervision y de instruccion por parte de la Agencia y de las autoridades autonomicas de proteccion de datos.

Otros contenidos del boletin

El numero 50 del boletin destaca varios frentes de trabajo de la Agencia. En el doctrinal, un nuevo criterio juridico sobre el tratamiento de datos biometricos, con el que la AEPD responde a una consulta de alto nivel estrategico sobre el uso de un sistema biometrico de verificacion facial —un analisis que desarrollamos en esta pieza sobre verificacion facial y consentimiento—. En el divulgativo, el decalogo «Asistentes y agentes de IA: que la IA actue por ti, no sin ti», con consejos para delegar tareas en asistentes de inteligencia artificial sin perder el control sobre los datos personales, que tambien analizamos en detalle en este articulo.

El boletin recoge ademas el segundo numero de la revista cientifica «Privacidad, Innovacion y Tecnologia», dedicado al decimo aniversario del RGPD y a los retos de su convivencia con la normativa sobre IA, servicios digitales, ciberseguridad y salud; la convocatoria de la jornada sobre proteccion de datos y ciberseguridad del 24 de noviembre, en el marco de las XX Jornadas STIC; las advertencias a dos ayuntamientos en relacion con proyectos de videovigilancia con analisis automatizado de imagenes; y el nuevo episodio del ciclo «Las claves de...», dedicado a las neurotecnologias y los neurodatos.

Videovigilancia con analisis automatizado: la advertencia a los ayuntamientos

La referencia a las advertencias dirigidas a dos ayuntamientos por proyectos de videovigilancia con analisis automatizado de imagenes merece atencion especifica de los servicios juridicos municipales. La incorporacion de capas de analisis automatico —reconocimiento de matriculas, deteccion de comportamientos, conteo o identificacion— eleva el riesgo del tratamiento y exige una evaluacion de impacto rigurosa, una base juridica suficiente y garantias reforzadas. Que la AEPD resuelva con advertencias y no con sanciones economicas no resta relevancia al precedente: fija el nivel de diligencia que la Agencia espera de las administraciones locales en estos proyectos.

Lectura para los delegados de proteccion de datos

Tres conclusiones operativas. Primera, el volumen de brechas notificadas convierte la preparacion del procedimiento de gestion de incidentes —deteccion, valoracion de riesgo, notificacion en 72 horas y comunicacion a los afectados cuando proceda— en un estandar de diligencia minima, no en una opcion. Segunda, los criterios sobre datos biometricos y las advertencias en videovigilancia trazan una linea clara: los tratamientos basados en captacion automatica de datos personales requieren justificacion reforzada de su necesidad y proporcionalidad. Tercera, el decalogo sobre asistentes de IA traslada la responsabilidad al despliegue corporativo: delegar tareas en agentes no exime del control sobre los datos tratados.

Para los despachos que asesoran a entidades locales o a empresas con sistemas de videovigilancia inteligente, el boletin ofrece argumentario actualizado para recomendar evaluaciones de impacto previas a la contratacion, y no a posteriori.

La agenda institucional de la Agencia

El boletin confirma, ademas, el calendario publico de la AEPD para las proximas semanas. La jornada sobre proteccion de datos y ciberseguridad del 24 de noviembre, inscrita en las XX Jornadas STIC, reunira a los dos ecosistemas profesionales —privacidad y seguridad— que la gestion de brechas precisamente conecta. Y la publicacion del segundo numero de la revista cientifica «Privacidad, Innovacion y Tecnologia», dedicada al decimo aniversario del RGPD, ofrece doctrina actualizada sobre la convivencia del Reglamento con la normativa de inteligencia artificial, servicios digitales, ciberseguridad y salud, un mapa normativo que ningun asesor del sector puede ya manejar por separado.

El episodio del ciclo «Las claves de...» dedicado a las neurotecnologias y los neurodatos, por su parte, anticipa uno de los frentes emergentes de la proteccion de datos: los datos derivados de la actividad cerebral y los dispositivos que los captan, un terreno en el que la Agencia empieza a fijar posicion divulgativa antes de que el debate regulatorio madure.

La edicion dedica espacio, por ultimo, a dos iniciativas divulgativas abiertas: la convocatoria para participar en el tercer numero de la revista Privacidad, Innovacion y Tecnologia, que se centrara en la relacion entre el RGPD y el creciente numero de normas que regulan la inteligencia artificial, los servicios digitales, la ciberseguridad o la salud; y la disponibilidad del episodio «Las claves de... Neurotecnologias y neurodatos», el formato audiovisual con el que la Agencia acerca a la ciudadania los tratamientos emergentes de datos personales.

La conversacion sobre IA juridica y proteccion de datos atraviesa tambien al mercado de herramientas: plataformas como GenIA-L de Lefebvre hacen de las certificaciones y de la trazabilidad de las fuentes su principal argumento comercial.

Preguntas frecuentes

¿Cuantas brechas ha recibido la AEPD en 2026?

Mas de 3.000 notificaciones en el primer semestre, cifra que supera las recibidas en todo 2025, segun el Boletin n.º 50 de la Agencia (noviembre de 2026).

¿Que es una brecha de seguridad de datos?

Todo incidente que ocasione destruccion, perdida, alteracion, divulgacion o acceso no autorizados a datos personales. Si entraña riesgo para los derechos y libertades de las personas, debe notificarse a la autoridad de control, en general en un plazo de 72 horas desde que se tiene constancia.

¿Que ha dicho la AEPD sobre videovigilancia con IA?

Ha dirigido advertencias a dos ayuntamientos por proyectos de videovigilancia con analisis automatizado de imagenes, segun el boletin.

¿Que otros contenidos trae el boletin de noviembre?

Un criterio juridico sobre datos biometricos de verificacion facial, el decalogo sobre asistentes y agentes de IA, el segundo numero de la revista Privacidad, Innovacion y Tecnologia, la jornada de proteccion de datos y ciberseguridad del 24 de noviembre (XX Jornadas STIC) y el episodio sobre neurotecnologias del ciclo «Las claves de...».

Fuentes

• Boletin Informativo n.º 50 de la AEPD, noviembre de 2026 (documento oficial), consultado el 10 de noviembre de 2026.