La AEPD recibe más de 3.000 notificaciones de brechas de datos personales en el primer semestre de 2026, un 138% más

La Agencia Española de Protección de Datos (AEPD) registró 3.027 notificaciones de brechas de seguridad de datos personales entre enero y junio de 2026, un 138% más que en el mismo semestre de 2025, según los informes mensuales del organismo recogidos por la agencia EFE y publicados por Infobae. La cifra ya supera el total de 2.765 notificaciones recibidas durante todo el año 2025, lo que confirma una aceleración sostenida del fenómeno y no solo un repunte puntual. El propio organismo recuerda que estas notificaciones son obligatorias por ley cuando una entidad detecta que datos personales bajo su responsabilidad han podido quedar expuestos, de modo que el aumento refleja tanto un mayor número de incidentes reales como, posiblemente, una mayor disciplina de las empresas a la hora de cumplir con la obligación de informar.

Entre los sectores más afectados, los informes de la AEPD señalan a los establecimientos hoteleros y a los proveedores de software de gestión de reservas que actúan como encargados del tratamiento de sus datos, donde terceros no autorizados han accedido a información de clientes y de reservas, en algunos casos con fines de fraude posterior. El organismo también documentó en marzo un incidente en el que un único encargado del tratamiento provocó brechas en cascada que afectaron a varios responsables distintos, lo que ilustra el riesgo de concentración en proveedores tecnológicos compartidos: cuando un mismo proveedor externo presta servicio a muchas empresas, un solo fallo de seguridad puede multiplicar el número de notificaciones y de personas afectadas en cuestión de días.

El ransomware se mantiene como una de las causas recurrentes de estas brechas, al comprometer simultáneamente la confidencialidad y la disponibilidad de los datos de las organizaciones afectadas, según los mismos informes. Como consecuencia de estos incidentes, las entidades que notificaron una brecha remitieron más de 71 millones de comunicaciones a las personas afectadas durante el primer semestre, en los casos en los que se detectó un riesgo alto para sus derechos y libertades, una cifra que da una idea de la magnitud del fenómeno más allá del número de expedientes abiertos por la propia agencia.

Una información publicada por El HuffPost atribuía a 2026 un aumento del 163% en las brechas de datos en España, cifra que no ha podido corroborarse de forma independiente frente a los datos oficiales de la AEPD citados por EFE y Teleprensa, que coinciden en un incremento del 138% para el primer semestre. Ante esa discrepancia, se mantienen como referencia las cifras oficiales verificadas y se descarta reproducir el porcentaje no confirmado, en línea con el criterio de no trasladar como hecho contrastado una cifra que ningún medio independiente ha logrado reproducir con la misma fuente y el mismo periodo de referencia.

El aumento de notificaciones se produce en un contexto de preocupación creciente por la seguridad digital en España: estudios independientes de ciberseguridad citados en los mismos informes sitúan al país entre los más afectados de la Unión Europea por ransomware y brechas de datos, mientras la propia AEPD advirtió en septiembre del primer caso registrado en España de una brecha ejecutada de forma autónoma por un agente de inteligencia artificial, un indicio de que las fuentes de riesgo para la protección de datos personales se están diversificando más allá de los vectores tradicionales como el phishing o el robo de credenciales.

La AEPD no ha anunciado, por el momento, sanciones específicas vinculadas a este repunte semestral, ya que los procedimientos sancionadores derivados de una notificación de brecha suelen tramitarse de forma individualizada y con plazos propios, independientes de la publicación de las estadísticas agregadas. Las asociaciones de consumidores consultadas por los medios citados recomiendan a los ciudadanos que reciban un aviso de brecha revisar sus movimientos bancarios y cambiar las contraseñas de los servicios afectados como medida de precaución inmediata.