# ¿Hay que notificar un ataque de ransomware según el RGPD?

A menudo sí, si hubo datos personales afectados, aunque no se robara nada. El RGPD define en su artículo 4, punto 12, la violación de la seguridad de los datos personales como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a ellos. El cifrado por ransomware deja los datos no disponibles, lo que es una violación de la disponibilidad, y los atacantes suelen copiar los datos antes de cifrar. Según el artículo 33, el responsable notifica a la autoridad de control sin dilación indebida y, de ser posible, en las 72 horas siguientes a tener constancia, salvo que sea improbable que la violación suponga un riesgo para las personas, por ejemplo porque una copia reciente lo restauró todo rápido y nada salió de la red. Documente el razonamiento en ambos casos. NetSenX puede mostrar si antes del cifrado salieron subidas inusuales desde equipos vigilados, algo que importa para esa valoración.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

FAQ: [Plazos de notificación](https://netsenx.com/es/faq/reporting) · https://netsenx.com/es/faq/do-we-have-to-report-ransomware-under-the-gdpr

## Siga leyendo

- https://netsenx.com/es/nis2-incident-reporting-deadlines
- https://netsenx.com/es/nis2-network-monitoring

## Preguntas relacionadas

- [¿Hay que notificar igualmente si los datos robados estaban cifrados?](https://netsenx.com/es/faq/if-stolen-data-was-encrypted-must-we-still-notify)
- [¿Podemos notificar por fases o tarde si no llegamos a la notificación del RGPD en 72 horas?](https://netsenx.com/es/faq/we-cannot-meet-72-hours-can-we-notify-in-phases)
- [¿Cuándo empieza a contar el plazo de 72 horas del RGPD?](https://netsenx.com/es/faq/when-does-the-gdpr-72-hour-clock-start)
- [¿Cómo encajan NIS2, el RGPD y DORA cuando un incidente exige varias notificaciones?](https://netsenx.com/es/faq/one-incident-several-reports-nis2-gdpr-dora)
- [¿Qué es un incidente grave relacionado con las TIC según DORA?](https://netsenx.com/es/faq/what-is-a-major-ict-incident-under-dora)