Una brecha de seguridad en la web del despacho no es un simple incidente técnico: es un hecho jurídico con plazo de reloj. Desde el momento en que el equipo detecta un acceso no autorizado, una fuga de datos de clientes o un formulario de contacto comprometido, arranca una cuenta atrás de 72 horas para notificar a la Agencia Española de Protección de Datos. Este artículo explica qué obliga el RGPD en ese plazo, qué le ocurre al posicionamiento del sitio si Google lo marca como pirateado y qué medidas reducen de verdad el riesgo de que esto llegue a pasar.
Por qué el despacho atrae ciberataques
Un despacho de abogados no gestiona datos bancarios sueltos: gestiona expedientes penales, acuerdos de fusión en negociación, estrategias de litigio y datos de salud o de menores que aparecen en procedimientos de familia. Para un ciberdelincuente, ese contenido vale más que el de un banco, porque combina valor económico directo con la presión reputacional de un cliente que no quiere ver su caso expuesto. La Agencia Española de Protección de Datos recibió 2.765 notificaciones de brechas de datos personales en 2025, un máximo histórico, con el 80% procedentes del sector privado y más de 209 millones de personas afectadas en conjunto.
El RGPD define la violación de la seguridad de los datos personales como «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra manera, o la comunicación o acceso no autorizados a dichos datos» (artículo 4.12).
El vector más habitual en un despacho pequeño o mediano no es un ataque sofisticado: es un formulario de contacto sin validar, un gestor de contenidos desactualizado o una contraseña reutilizada en el panel de administración. La propia AEPD señala que las brechas que más personas afectan comparten un perfil técnico recurrente: ransomware e intrusiones con exfiltración masiva, muchas veces contra encargados del tratamiento como plataformas externas que el despacho contrata sin auditar.
Notificar la brecha a la AEPD en 72 horas
El artículo 33 del RGPD obliga al despacho, como responsable del tratamiento, a notificar la brecha a la AEPD sin dilación indebida y, si es posible, antes de que pasen 72 horas desde que tuvo constancia de ella. El plazo corre aunque el incidente esté a medio resolver: se notifica con la información disponible en ese momento y se completa después.
Qué debe incluir el formulario de notificación
El formulario oficial de la sede electrónica de la AEPD pide cinco bloques: la naturaleza de la brecha, si compromete confidencialidad, integridad o disponibilidad; las categorías de datos y el número aproximado de clientes o contactos afectados; los datos del delegado de protección de datos o de la persona de contacto; las consecuencias probables para esas personas; y las medidas ya adoptadas o previstas para mitigar el daño. Rellenarlo con datos vagos no exime de responsabilidad: la AEPD valora la diligencia mostrada, no solo el resultado final del incidente.
Cuándo hay que avisar también a los clientes
El artículo 34 añade una obligación distinta: si la brecha entraña un riesgo alto para los derechos de las personas afectadas, por ejemplo si se han filtrado expedientes con datos de salud, orientación sexual o antecedentes penales, el despacho debe comunicárselo directamente a cada cliente afectado, sin la excusa de las 72 horas: se hace tan pronto como sea razonablemente posible. Guardar silencio para no dañar la imagen del bufete es precisamente la conducta que la norma sanciona con más dureza.
El hackeo que frena la captación de leads
La parte legal no es la única urgencia. Cuando Google detecta contenido malicioso, como redirecciones ocultas, minado de criptomonedas en segundo plano o inyecciones de spam en las páginas de servicios, marca el sitio como pirateado tanto en los resultados de búsqueda como en Search Console, y algunos navegadores muestran una pantalla roja de advertencia antes de dejar entrar al visitante. Para un despacho que vive de que un cliente potencial rellene el formulario de contacto, ese aviso equivale a cerrar la puerta antes de que nadie llame.
Google trata el HTTPS como una señal de posicionamiento desde 2014, ligera pero real, y agrupa la seguridad del sitio con otros indicadores de experiencia de usuario como la velocidad o la compatibilidad móvil. Un certificado caducado o un aviso de «sitio no seguro» no hunde el ranking de un día para otro, pero sí dispara el abandono en la página de contacto, que es exactamente donde se decide si una visita se convierte en un expediente nuevo. Recuperar la confianza de Google, además, no es inmediato: tras limpiar el sitio hay que pedir una revisión de malware en Search Console, y la retirada del aviso tarda hasta 24 horas si la revisión confirma que el sitio ya está limpio.
Medidas técnicas contra una brecha de seguridad
La mayoría de estas brechas no empiezan con un atacante experto: empiezan con mantenimiento aplazado. Las medidas que de verdad bajan el riesgo no son caras ni exigen un departamento de informática propio:
- Actualizar el gestor de contenidos, el tema y los plugins en cuanto publican parche de seguridad, en particular los que tocan formularios y comentarios.
- Activar la verificación en dos pasos en el panel de administración y en el correo asociado, y eliminar cuentas de usuarios que ya no trabajan en el despacho.
- Hacer copias de seguridad automáticas y probarlas de verdad: una copia que nunca se ha restaurado no es una copia, es una suposición.
- Instalar un certificado SSL vigente en todo el dominio, sin páginas sueltas servidas por HTTP, y renovarlo antes de que caduque.
- Auditar los formularios de contacto y captación de leads, que son la puerta de entrada más común porque aceptan datos de cualquiera sin verificar.
Ninguna de estas medidas sustituye a un análisis de riesgos formal si el despacho trata datos especialmente sensibles a gran escala, pero cubre la causa real de la mayoría de los incidentes que acaban en el formulario de la AEPD: negligencia acumulada, no ataques imposibles de prever. Los artículos de esta sección repasan además cómo blindar paso a paso el gestor de contenidos del despacho.
Qué exige el RGPD según la gravedad del incidente
No todas las brechas obligan a lo mismo. La tabla resume qué exige la norma según el riesgo real para los clientes afectados, que es el criterio que usa la AEPD para graduar tanto la obligación como la sanción si se incumple.
| Escenario | Notificar a la AEPD | Avisar a los clientes | Plazo |
|---|---|---|---|
| Riesgo bajo (dato cifrado, sin acceso real a información legible) | Debe documentarse; no siempre es obligatorio notificar | No | — |
| Riesgo para derechos y libertades (filtración de datos de contacto y expedientes) | Sí | Solo si el riesgo es alto | 72 horas |
| Riesgo alto (datos de salud, penales o de menores expuestos) | Sí | Sí, sin dilación | 72 horas + aviso inmediato |
| Notificación fuera de plazo sin justificar el retraso | Sí, igualmente | Según el riesgo | Agravante en la sanción |
| Incidente no notificado, descubierto de oficio por la AEPD | Investigación abierta por la Agencia | — | Multa de hasta 10 M€ o el 2% de la facturación anual |
Preguntas frecuentes sobre la seguridad web del despacho
¿Qué es exactamente una brecha de seguridad según el RGPD?
Es cualquier incidente que comprometa la confidencialidad, integridad o disponibilidad de datos personales: desde un acceso no autorizado al panel de administración hasta el borrado accidental de una base de clientes sin copia de seguridad. No hace falta intención de robar datos ni que el atacante los publique: basta con que el control sobre ellos se pierda.
¿Hay que avisar siempre a los clientes afectados?
No. Solo cuando el riesgo para sus derechos es alto, como cuando se filtran datos de salud, antecedentes penales o de menores. Si el riesgo es bajo o medio, basta con notificar a la AEPD y documentar internamente la valoración de riesgo que justifica no avisar directamente a cada cliente.
¿Cuánto puede costar una brecha a un despacho pequeño?
Depende de la gravedad, pero la AEPD abrió 77 procedimientos sancionadores derivados de brechas en 2025, un 157% más que el año anterior, por un importe conjunto de 19,8 millones de euros. A eso se suma el coste de recuperar el sitio, avisar a los clientes y, con frecuencia, meses de desconfianza comercial.
¿Un hackeo afecta al posicionamiento SEO del despacho?
Sí, de forma indirecta. Google no penaliza el hackeo en sí, pero marca el sitio como pirateado en sus resultados y algunos navegadores bloquean el acceso con una advertencia. Mientras dure el aviso, el tráfico y los formularios de contacto caen aunque el ranking técnico no se haya movido.