El 28 de abril de 2025 España vivió el mayor apagón eléctrico de su historia reciente. Una caída masiva en la generación solar dejó a gran parte del país sin suministro durante horas, aislando temporalmente el sistema eléctrico peninsular del resto de Europa. El suceso no solo paralizó fábricas, transportes y hospitales; también dejó al descubierto una realidad incómoda: muchas organizaciones no están preparadas para proteger los datos personales cuando todo se apaga.

Desde la perspectiva del cumplimiento normativo, este incidente ha sido una prueba de estrés sin precedentes. La pregunta clave que deben hacerse ahora los Delegados de Protección de Datos (DPD) y responsables de seguridad es clara: ¿puede nuestra organización garantizar el cumplimiento del RGPD durante un apagón total?

 

La brecha invisible: datos en riesgo durante el apagón

Cuando cae la luz, caen también los sistemas de seguridad que protegen nuestra información más sensible. Firewalls, sistemas de detección de intrusos, cámaras de videovigilancia, cerraduras biométricas, registros de acceso, copias de seguridad automáticas… todo depende de una cosa: la electricidad.

Un apagón puede generar múltiples incidencias críticas en términos de protección de datos, desde la interrupción de medidas de seguridad perimetral, exponiendo sistemas a accesos no autorizados; el apagado incontrolado de servidores, con riesgo de corrupción de bases de datos o pérdida definitiva de información; fallo en los sistemas de registro (logs), dificultando la trazabilidad posterior de los eventos; desactivación de controles de acceso físicos, permitiendo entradas no autorizadas a instalaciones donde se almacenan datos; e imposibilidad de atender derechos ARSOP, dejando a los interesados sin respuesta en el plazo legal.

En este contexto, la pérdida de disponibilidad, integridad o confidencialidad de datos personales no es una hipótesis remota, sino una consecuencia esperable si no se han adoptado medidas adecuadas de contingencia.

 

Obligaciones legales que no se apagan

El Reglamento General de Protección de Datos (RGPD) y la LOPDGDD no incluyen una «cláusula de exención por apagón«. La responsabilidad proactiva (accountability) sigue vigente incluso en circunstancias excepcionales. Esto significa que la falta de suministro eléctrico no exime a una organización de notificar una brecha si esta ha afectado a datos personales.

En términos prácticos, esto obliga a:

  1. Detectar rápidamente si se ha producido una brecha.
  2. Evaluar el riesgo para los derechos y libertades de las personas afectadas.
  3. Notificar a la AEPD en un máximo de 72 horas, si existe un riesgo significativo.
  4. Informar a los afectados sin demora injustificada, cuando el riesgo sea alto.

En caso de inspección, la Agencia no preguntará si hubo apagón, sino qué medidas preventivas había y cómo se actuó durante la crisis. La clave está en la previsión.

 

El papel clave del DPD ante el caos

El Delegado de Protección de Datos se convierte en una figura estratégica durante este tipo de incidentes, asumiendo un papel central en la gestión de la crisis. En primer lugar, debe coordinar con los responsables de seguridad y sistemas la evaluación del impacto del apagón sobre los tratamientos de datos personales. Además, le corresponde activar o recomendar la activación del plan de respuesta ante incidentes de seguridad, en función de la gravedad de la situación. También debe valorar si los hechos configuran una brecha de seguridad en el sentido del RGPD y, en caso afirmativo, asesorar sobre la necesidad de notificarla a la autoridad competente. A lo largo de todo el proceso, el DPD ha de documentar con detalle cada decisión tomada, los tiempos de respuesta, las medidas adoptadas y las evaluaciones de riesgo realizadas. Por último, debe actuar como enlace con la Agencia Española de Protección de Datos y, si procede, liderar la comunicación a los afectados, garantizando que esta se realice de forma clara, transparente y en el menor tiempo posible. El DPD debe ser, en este contexto, algo más que un asesor legal: un gestor de crisis con visión operativa.

 

Lo que se pudo hacer (y lo que hay que hacer ya)

Muchos de los daños que produce un apagón masivo en los sistemas de protección de datos pueden evitarse si se implantan medidas técnicas y organizativas adecuadas. Entre las más eficaces destaca la utilización de Sistemas de Alimentación Ininterrumpida (SAIs), que resultan esenciales para mantener operativos, aunque sea temporalmente, los sistemas críticos de seguridad y control de accesos. En instalaciones que manejan grandes volúmenes de datos sensibles, contar con grupos electrógenos se vuelve igualmente imprescindible para garantizar la continuidad operativa. También es crucial disponer de copias de seguridad redundantes, almacenadas en ubicaciones geográficamente separadas, cuya integridad debe ser verificada de forma periódica. El cifrado robusto de los datos en reposo añade una capa extra de protección, especialmente útil en caso de accesos físicos no autorizados durante una interrupción del suministro eléctrico. Todo ello debe integrarse dentro de planes de continuidad de negocio que contemplen específicamente la protección de datos personales, reforzados mediante simulacros periódicos que incluyan escenarios de apagón total, con el fin de garantizar la capacidad de respuesta real ante una contingencia de este tipo.

No se trata solo de cumplir la norma. Se trata de proteger los derechos fundamentales de las personas cuyos datos gestionamos.

 

Lecciones que no se pueden ignorar

El apagón del 28 de abril debe marcar un antes y un después en la gestión del riesgo tecnológico en protección de datos. Este evento ha puesto en evidencia que muchas organizaciones siguen ancladas en la ilusión de la disponibilidad permanente. Pero la realidad es otra: lo improbable ya no es imposible.

La Audiencia Nacional ha abierto diligencias para determinar si hubo sabotaje informático en infraestructuras críticas. Algunas comunidades autónomas activaron el nivel 3 de emergencia. Y, sin embargo, muchas empresas siguen sin planes adecuados para este tipo de situaciones. El cumplimiento no puede depender de que todo funcione bien. No puede quedarse en políticas y cláusulas. Requiere acción. Prevención. Preparación. Y, sobre todo, conciencia.

Este apagón debe servir como catalizador para revisar, actualizar y probar los planes de contingencia de las organizaciones, con un enfoque claro en la protección de datos personales. Porque cuando se va la luz, lo que queda es la preparación… o la sanción.

Y tú, ¿estás listo para el próximo apagón?