¿Qué pasó en tu oficina en vacaciones mientras no había nadie a quien preguntar?
Durante las vacaciones, el riesgo de protección de datos en la empresa no baja: lo que baja es la disponibilidad de quien puede gestionarlo (DPD, IT). Un phishing, un portátil olvidado o un acceso sin supervisión pueden pasar desapercibidos si nadie está disponible para actuar. Septiembre es el momento de revisarlo.
El periodo de vacaciones es, casi siempre, el de menos personal en la oficina. Las vacaciones se solapan, los departamentos de protección de datos e IT, cuando existen como figura interna, suelen estar de baja actividad, y los servicios externos de los que dependen muchas pymes a veces tampoco están disponibles con la misma rapidez. Mientras tanto, los incidentes no se toman vacaciones.
¿Reduce el verano el riesgo de protección de datos en la empresa?
No. El verano reduce la capacidad de respuesta de la empresa, no el riesgo real. Los ciberatacantes conocen este patrón: las campañas de phishing y los intentos de intrusión no disminuyen en periodo vacacional, y en muchos sectores incluso aumentan, precisamente porque las organizaciones están menos preparadas para detectar y reaccionar a tiempo.
La combinación de plantilla reducida y ausencia de las figuras de referencia en protección de datos e IT crea una ventana de vulnerabilidad que dura semanas.
¿Qué riesgos hay que revisar al volver de vacaciones? Checklist de 7 preguntas
Antes de dar por cerrado el verano, conviene revisar con el equipo si ha ocurrido alguna de estas situaciones durante las semanas de menor actividad:
- ¿Alguien recibió un email o mensaje sospechoso y no supo a quién comunicarlo, o simplemente lo ignoró?
- ¿Se ha perdido, ha quedado desatendido o ha sido robado algún dispositivo corporativo (portátil, móvil, USB) durante este periodo?
- ¿Ha habido accesos a sistemas, carpetas o aplicaciones fuera del horario habitual que nadie ha podido verificar en el momento?
- ¿Se han activado, modificado o compartido credenciales de acceso sin que quedara constancia de quién lo autorizó?
- ¿Algún empleado en remoto ha trabajado desde redes wifi no seguras (aeropuertos, alojamientos, espacios públicos) con acceso a datos de la empresa?
- ¿Se ha producido alguna incidencia con un proveedor o encargado del tratamiento de la que la empresa no fue informada hasta su vuelta?
- ¿Existía, durante este periodo, alguien identificable, interno o externo, al que el personal pudiera dirigirse en caso de duda o incidente?
¿Qué pasa si no hay nadie disponible cuando ocurre una brecha de seguridad?
Si ocurrió un incidente y nadie supo cómo actuar en el momento, la empresa se expone a un problema normativo concreto: el RGPD no suspende el plazo de 72 horas para notificar una brecha de seguridad a la AEPD (art. 33 RGPD) por el hecho de que sea periodo de vacaciones.
⚠ Sin excepciones por vacaciones: Si una brecha se detecta tarde, o se gestiona sin criterio porque no había nadie disponible para asesorar, el riesgo de incumplir el plazo de 72 horas, y de gestionar mal el incidente, aumenta considerablemente.
📋 Referencias normativas — Notificación de brechas
- RGPD — Artículo 33: Notificación de brechas a la autoridad de control (plazo 72 h), sin excepción por periodo vacacional
- AEPD — Guía para la gestión y notificación de brechas de seguridad
- Agencia Española de Protección de Datos (AEPD)
¿Por qué falla el protocolo de protección de datos si depende de una sola persona?
Muchas empresas sí tienen un protocolo de actuación ante incidentes de seguridad. El problema es que, en la práctica, ese protocolo depende de que una persona concreta —el responsable de IT, el DPD, el encargado de recursos humanos— esté disponible para activarlo. Cuando esa persona está de vacaciones y no hay un canal claro y permanente al que recurrir, el protocolo existe sobre el papel, pero no funciona en la realidad.
Un sistema de gestión de incidentes verdaderamente robusto no puede depender de la disponibilidad individual de nadie: necesita un canal de contacto permanente, accesible durante todo el año, con capacidad real de respuesta inmediata.
¿Cómo puede tu empresa evitar estos riesgos el próximo verano?
Septiembre es el mejor momento para corregir esto antes de que se repita. Algunas medidas concretas:
- Disponer de un servicio externo de protección de datos e IT con disponibilidad garantizada todo el año, incluidos los periodos de menor actividad interna.
- Tener un canal de contacto único y conocido por todo el equipo para comunicar cualquier incidente, independientemente de quién esté disponible internamente.
- Establecer un protocolo de actuación documentado que no dependa de una sola persona, sino de un procedimiento que cualquier empleado pueda activar.
- Revisar los accesos remotos y las políticas de uso de dispositivos antes de cada periodo vacacional.
- Hacer un repaso al volver de vacaciones para detectar incidentes que hayan podido pasar desapercibidos.
Preguntas frecuentes sobre protección de datos y vacaciones
¿Es obligatorio notificar una brecha de seguridad aunque sea periodo de vacaciones?
Sí. El RGPD (art. 33) establece un plazo de 72 horas desde que la empresa tiene constancia de la brecha para notificarla a la AEPD, sin excepciones por periodo vacacional o falta de personal disponible.
¿Qué es una brecha de seguridad según el RGPD?
Es cualquier incidente que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales, ya sea accidental o ilícito. Incluye desde un dispositivo perdido hasta un acceso indebido a un sistema.
¿Necesita mi empresa un DPD externo si el interno está de vacaciones?
Contar con un servicio de DPD externo con disponibilidad continua evita que la gestión de un incidente dependa de que una persona concreta esté presente. Es especialmente útil para cubrir los periodos de menor actividad interna, como el verano.
¿Qué debe incluir un protocolo de actuación ante un incidente de protección de datos?
Debe definir un canal de contacto único y conocido por todo el equipo, los pasos a seguir ante una sospecha de incidente y quién puede activarlo, de forma que no dependa de la disponibilidad de una sola persona.
¿Qué pasa si mi empresa no tiene a nadie disponible para gestionar un incidente?
Aumenta el riesgo de detectar tarde el incidente, de no cumplir el plazo de notificación a la AEPD y de gestionar mal la respuesta. Disponer de un canal de contacto permanente reduce ese riesgo.
La protección de datos no se detiene en vacaciones, aunque la capacidad de respuesta de tu empresa sí lo haga si depende de una sola persona. Revisar lo ocurrido durante el verano, corregir los puntos débiles y asegurar un canal de contacto permanente son pasos sencillos que evitan que un incidente pasado desapercibido se convierta en un problema normativo en septiembre.
¿Sabes exactamente en qué punto está tu empresa?
En Datagestión ofrecemos un servicio de Delegado de Protección de Datos externo con disponibilidad continua, también durante los periodos de vacaciones. Si además necesitas revisar el protocolo de actuación ante incidentes o el análisis de riesgos de tu empresa, nuestra Consultoría en Protección de Datos incluye el mantenimiento del sistema y el informe de brechas de seguridad.
