INTELIGENCIA / CIBERSEGURIDAD | MADRID, 20 DE OCTUBRE DE 2026. La Agencia Española de Protección de Datos (AEPD) ha difundido nuevos datos que muestran un fuerte incremento de las notificaciones de brechas de datos personales en España. Durante el primer semestre de 2026 recibió 3.027 notificaciones, frente a 1.271 en el mismo periodo del año anterior: una variación aproximada del 138%. Al ampliar el período de referencia a enero-agosto, el organismo contabiliza 4.556, frente a 1.728 de 2025, es decir, un aumento del 163%.
La advertencia es de primera magnitud para empresas, organismos públicos y proveedores de infraestructuras digitales. Pero exige una precisión: una notificación de brecha no equivale necesariamente a un ataque informático confirmado ni a una víctima individual; puede abarcar pérdida, exposición o acceso no autorizado a datos por diferentes causas.
El salto estadístico, en cifras
La comparación de la AEPD muestra que el primer semestre ya supera el volumen de notificaciones registrado en todo 2025, según su comunicación del día. El cuadro de mando público detalla los incidentes en series mensuales desde enero de 2022.
Los datos pueden experimentar correcciones posteriores por reclasificaciones, notificaciones tardías y ajustes administrativos. El incremento descrito compara períodos equivalentes, no ocho meses de un ejercicio con doce de otro.
| Período | 2025 | 2026 | Variación |
|---|---|---|---|
| Enero-junio | 1.271 | 3.027 | +138% aproximadamente |
| Enero-agosto | 1.728 | 4.556 | +163% aproximadamente |
Qué es exactamente una brecha de datos
El artículo 33 del Reglamento General de Protección de Datos (RGPD) obliga a notificar a la autoridad competente determinados incidentes cuando puedan suponer riesgos para los derechos y libertades de las personas.
Una brecha puede consistir en la pérdida de disponibilidad, alteración o divulgación no autorizada de información personal. Entre sus causas figuran ataques maliciosos, errores humanos, configuraciones deficientes o fallos de proveedores.
La distinción importa: afirmar que España sufrió 4.556 hackeos confirmados deformaría el indicador oficial. Lo que se conoce son 4.556 notificaciones registradas hasta agosto.
La cadena de proveedores como factor de riesgo
Las informaciones publicadas sobre el balance de la Agencia destacan incidentes relacionados con servicios de reservas hoteleras y suministradores de plataformas tecnológicas. Cuando un proveedor gestiona sistemas utilizados por numerosos negocios, una misma incidencia puede trasladar el riesgo a varias entidades y a miles de ciudadanos.
El impacto no se limita a la exposición de archivos: la información obtenida puede utilizarse en fraudes de suplantación, phishing y campañas dirigidas. La protección de credenciales, la segmentación de accesos y la trazabilidad de operaciones adquieren relevancia especial cuando intervienen terceros.
Los riesgos también afectan a pymes y administraciones locales, que no siempre cuentan con estructuras de respuesta equivalentes a las de grandes empresas.
¿Está detrás la inteligencia artificial?
No cabe atribuir automáticamente el incremento de las notificaciones a la IA. Aunque las herramientas generativas pueden facilitar engaños y automatizaciones, las estadísticas conocidas no prueban que expliquen la mayor parte del crecimiento.
Para sostener esa atribución habría que disponer de clasificación forense de incidentes, vectores de intrusión y evidencias técnicas de empleo de sistemas concretos.
Derechos de las personas afectadas
Los responsables del tratamiento deben investigar las brechas, mitigar daños y, cuando corresponda por el nivel de riesgo, comunicar el incidente a los afectados. Quienes reciban una comunicación deberán comprobar la identidad del remitente por un canal independiente y reforzar credenciales si existe riesgo acreditado de exposición.
La AEPD dispone de documentación y herramientas para determinar las obligaciones de notificación y comunicación previstas por la normativa. Las empresas no pueden sustituir el deber legal por simples avisos publicitarios o promesas de seguridad genéricas.
Qué investigará El Estándar
El salto de las notificaciones abre tres líneas de seguimiento: la concentración del riesgo en proveedores, la frecuencia de incidentes en servicios esenciales y la calidad de las comunicaciones a usuarios potencialmente afectados.
El número de notificaciones es un indicador relevante de exposición tecnológica y transparencia regulatoria, no una medida aislada de sofisticación de los atacantes. Nuestro análisis seguirá los documentos de la Agencia y las series metodológicamente comparables.
