Cómo deben actuar jurídicamente las empresas ante una brecha de seguridad
Claves para minimizar riesgos, sanciones y daño reputacional
(A propósito del caso Endesa)
Las brechas de seguridad ya no son un escenario excepcional. Son un riesgo estructural para cualquier empresa con actividad digital. Lo que marca la diferencia no es solo sufrir una brecha, sino cómo se actúa jurídicamente en las primeras horas y días posteriores.
El caso Endesa, ampliamente difundido en medios y redes sociales, ilustra con claridad un patrón que se repite: el incidente técnico es solo el inicio; la verdadera crisis surge cuando la respuesta legal y comunicativa no está bien coordinada.
Desde LeyCiber, este es el enfoque jurídico correcto.
- Primer principio: no es solo un problema técnico, es un problema legal
Una brecha de seguridad activa automáticamente obligaciones jurídicas. Tratarla como un fallo informático aislado es uno de los errores más graves.
Desde el primer momento, la empresa debe asumir que está ante un incidente con impacto en:
- Protección de datos (RGPD).
- Responsabilidad civil.
- Riesgo sancionador administrativo.
- Reputación corporativa.
- Confianza de clientes y usuarios.
En el caso Endesa, como en otros similares, el foco público se desplazó rápidamente del “qué ha pasado” al “cómo se ha gestionado”.
- Activación inmediata del protocolo legal de brecha
Primeras 24–48 horas: críticas.
La empresa debe:
- Activar un equipo legal de crisis, no solo IT.
- Preservar pruebas digitales de forma válida (logs, accesos, evidencias).
- Delimitar con precisión:
- Qué datos pueden haberse visto afectados.
- A cuántos interesados.
- Con qué nivel de riesgo real.
Improvisar comunicaciones o minimizar el alcance sin base probatoria suele agravar la situación.
- Evaluar correctamente si existe obligación de notificar a la AEPD
Uno de los puntos más delicados es la notificación a la autoridad de control.
El RGPD no obliga a notificar todas las brechas, pero sí aquellas que supongan un riesgo para los derechos y libertades de las personas. La evaluación debe ser:
- Jurídica, no solo técnica.
- Documentada.
- Defendible a posteriori.
En crisis como la de Endesa, uno de los focos habituales es si la empresa:
- Notificó tarde.
- Notificó sin criterio.
- O comunicó de forma confusa.
Una notificación mal planteada no reduce sanciones; a veces las incrementa.
- Comunicación a los afectados: claridad, no pánico
Cuando la brecha implica riesgo alto para las personas, la comunicación a los afectados es obligatoria. Aquí se juega gran parte del coste reputacional.
Errores frecuentes:
- Mensajes ambiguos o excesivamente técnicos.
- Minimizar el impacto sin certeza.
- Trasladar la responsabilidad al usuario.
La comunicación debe:
- Informar con claridad.
- Explicar qué ha pasado sin especular.
- Indicar medidas adoptadas.
- Dar instrucciones útiles al afectado.
En el caso Endesa, como en otros grandes incidentes, la reacción pública estuvo muy ligada a cómo se explicó el problema, no solo a su existencia.
- Coordinar legal y comunicación: o se hace juntos o no se hace bien
Uno de los mayores riesgos en una brecha es la descoordinación interna:
- Legal dice una cosa.
- Comunicación publica otra.
- Atención al cliente transmite un tercer mensaje.
Desde el punto de vista jurídico, esto es letal.
Cada declaración pública puede:
- Generar prueba en contra.
- Activar reclamaciones.
- Ser utilizada por la autoridad de control.
La gestión correcta exige:
- Mensaje único.
- Validación legal previa.
- Estrategia de silencio selectivo cuando procede.
- Prepararse para el “día después”: reclamaciones y reputación
Tras una brecha relevante, es habitual que aparezcan:
- Reclamaciones individuales.
- Acciones colectivas.
- Investigaciones regulatorias.
- Explotación reputacional del incidente en redes.
Aquí el derecho digital permite:
- Diseñar una estrategia de contención jurídica.
- Responder a reclamaciones sin agravar el conflicto.
- Proteger la marca frente a usos oportunistas del incidente.
El coste reputacional no se elimina, pero se puede limitar.
- La lección del caso Endesa (y de muchos otros)
La enseñanza principal es clara:
La brecha no destruye la confianza; la mala gestión jurídica sí.
Las empresas que reaccionan con:
- Rapidez,
- Rigor legal,
- Comunicación controlada,
- Y documentación sólida,
salen reforzadas frente a autoridades, tribunales y opinión pública.
Las que improvisan, minimizan sin base o comunican mal, convierten un incidente técnico en una crisis institucional.
Conclusión
Una brecha de seguridad es inevitable en el entorno digital actual.
Una mala gestión jurídica de la brecha, no.
En LeyCiber trabajamos precisamente en ese punto crítico: ayudar a las empresas a reaccionar jurídicamente bien, reducir sanciones, contener el daño reputacional y recuperar el control cuando el incidente ya se ha producido.
Porque en estos casos, no gana quien no sufre la brecha, sino quien sabe gestionarla.
Juan Carlos Porras
Director
Juan Carlos Porras es director de LeyCiber, despacho especializado en derecho digital y online, con experiencia en gestión jurídica de brechas de seguridad, crisis reputacionales y cumplimiento normativo en entornos de alta exposición tecnológica.
LeyCiber – Derecho Digital y Online · Madrid
Nota legal
El presente artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico individualizado. Cada incidente de seguridad requiere un análisis específico atendiendo a sus circunstancias concretas.