Entre enero y junio se recibieron 3.027 notificaciones frente a las 1.271 registradas en el mismo periodo de 2025, lo que supone un incremento del 138%. Si se tiene en cuenta el periodo entre enero y agosto de 2026, el incremento asciende al 163%, 4.556 notificaciones respecto a las 1.728 del mismo periodo en 2025. Esta cifra supone, además, que las brechas de datos personales notificadas a la Agencia en el primer semestre de 2026 superan a las recibidas durante todo 2025.
Los informes que publica la Agencia mensualmente sobre brechas de datos personales permiten identificar algunos de los fenómenos que han contribuido a este incremento. En marzo, la Agencia detectó que un incidente producido en un único encargado del tratamiento provocó una brecha de datos personales en múltiples responsables. En estos casos, el encargado debe informar sin dilación indebida a los responsables para que puedan cumplir con las obligaciones que les corresponden conforme a la normativa de protección de datos.
Asimismo, el informe correspondiente a julio señala que las notificaciones relacionadas con establecimientos hoteleros y sus encargados del tratamiento, generalmente proveedores de software de gestión de reservas, habían contribuido en gran medida al aumento de las notificaciones recibidas por la AEPD en los meses anteriores. En muchas de estas brechas, terceros no legitimados acceden a datos personales de clientes y a información de sus reservas, que posteriormente puede ser utilizada para realizar intentos de fraude. Aunque en menor medida, ya se había advertido de esta situación en el informe sobre notificaciones de brecha de mayo.
El incremento de las notificaciones también coincide con la persistencia de amenazas ya observadas en periodos anteriores. El ransomware continúa provocando brechas de datos personales en organizaciones de distintos sectores y puede comprometer tanto la disponibilidad como la confidencialidad de los datos. La Agencia subraya por ello la necesidad de que responsables y encargados cuenten con medidas preventivas adecuadas al nivel de riesgo y con procedimientos que permitan actuar ante una brecha para minimizar sus posibles consecuencias.
La AEPD recuerda que el artículo 33 del Reglamento General de Protección de Datos establece la obligación de notificar a la autoridad de control competente las brechas de datos personales cuando sea probable que estas constituyan un riesgo para las personas afectadas. Esta obligación forma parte de la responsabilidad proactiva del responsable del tratamiento.
Por otro lado, notificar la brecha de datos personales a la Agencia es tan importante como informar a las personas afectadas. Esta comunicación, sobre todo en casos de riesgo alto, es clave para que las personas afectadas puedan valorar el riesgo de acuerdo con sus circunstancias particulares, y tomar las acciones que consideren apropiadas. En este sentido, los responsables que notificaron una brecha de datos personales a la Agencia emitieron en el primer semestre de 2026 más de 71 millones de comunicaciones a interesados al apreciarse la posibilidad de riesgo alto. Esa comunicación a las personas por parte del responsable del tratamiento es un elemento clave para determinar una respuesta diligente por su parte.
La Agencia recuerda a las organizaciones la importancia de implementar medidas de protección de datos antes de que se produzca una brecha de datos personales (minimización de datos, borrado o anonimización temprana, bloqueo, segmentación, etc.), además de estar preparadas para la gestión de la misma si llegase a materializarse.
