Si has sufrido una brecha de datos personales: qué hacer ahora

¿Tienes razón?

Lo que determina la obligación de actuar tras una brecha es su alcance (qué datos y cuántas personas afectadas), la sensibilidad de los datos comprometidos y el riesgo real de daño para los titulares. Una filtración que expone solamente identificadores sencillos tiene distinto tratamiento que una que expone claves, números de tarjetas o información sensible. Si podés demostrar que tomaste medidas de seguridad razonables y reaccionaste rápidamente para mitigar el incidente, eso pesa a tu favor frente a autoridades y afectados.

No es solo una cuestión técnica: también pesa el grado de documentación y la existencia de un plan de respuesta. Las autoridades y los jueces valoran si la organización tenía políticas y si las ejecutó. La notificación a titulares y, en su caso, a autoridades, depende de la evaluación del riesgo; ante dudas razonables sobre la posibilidad de daño, lo prudente es comunicar.

Cómo se soluciona

1) Contención técnica inmediata: aislá los sistemas comprometidos, revocá accesos comprometidos, aplicá parches y activá medidas de contención (cambio de claves, bloqueo de cuentas afectadas). Documentá cada acción y quién la ejecutó.

2) Recolección y preservación de evidencia: exportá logs, capturas, volcado de bases de datos y cualquier rastro que permita reconstruir el incidente. No modifiqués sistemas sin hacer copias forenses, para no destruir pruebas.

3) Evaluación del alcance: determiná qué datos se vieron comprometidos, cuántas personas y qué riesgos concretos corren (fraude, suplantación, daño reputacional). Clasificá los datos por sensibilidad.

4) Comunicación interna y externa: informá al equipo de respuesta, a la gerencia, y si corresponde, a las personas afectadas con información clara sobre qué ocurrió, qué datos se vieron afectados y qué medidas tomás. También prepará una comunicación para consultas de prensa y clientes.

5) Notificación a autoridades y cooperación: si la normativa lo exige o si el riesgo es significativo, ponete en contacto con la autoridad competente en protección de datos y con las fuerzas si hay indicios de delito. Respondé a requerimientos formales con la documentación recopilada.

6) Remediación y prevención: revisá controles, hacé auditorías de seguridad, capacita al personal, y actualizá políticas. Implementá medidas técnicas adicionales como cifrado de datos, mejores controles de acceso y monitoreo.

7) Atención a titulares y reparación: ofrecé canales de atención, asesoramiento para mitigar riesgos (por ejemplo, monitoreo de identidad), y si corresponde, medidas de compensación. Registrá cada reclamo y su resolución.

Qué se puede hacer sin abogado: contención técnica y comunicación preliminar. Qué requiere abogado: coordinación de la respuesta legal, manejo de reclamos y demandas potenciales, y comunicación con autoridades cuando hay implicaciones legales o petición de medidas cautelares.

Qué puede pasar

1) Se resuelve con medidas de contención: muchas brechas se solucionan con correcciones técnicas, notificaciones y seguimiento, y no terminan en sanción si demostrás diligencia.

2) Acuerdo y medidas impuestas: puede haber acuerdos con la autoridad que incluyan auditorías, planes de mejora y obligaciones correctivas. También podés negociar atención a afectados para cerrar reclamos.

3) Procedimiento administrativo o judicial: si hubo negligencia grave o daño efectivo, la autoridad puede iniciar un procedimiento sancionatorio y los afectados pueden reclamar indemnización en sede civil. En el juicio se evaluará la diligencia y la prueba técnica; si perdés, habrá condenas y costo de ejecución según la solvencia.

Y si ganás, ¿cobrás? Las acciones por daños dependen de la demostración del perjuicio económico y de la solvencia del demandado. Ganar en un proceso no garantiza la recuperación efectiva si la parte carece de bienes.

Errores que arruinan el caso

• Apagar o reiniciar servidores sin hacer copias forenses: puede destruir evidencia clave.

• No documentar las medidas tomadas: sin registro, es difícil probar diligencia.

• Minimizar o negar el incidente públicamente: eso suele empeorar la consecuencia legal y reputacional.

• No coordinar con el proveedor de servicios (cloud, hosting): perderás tiempo y responsabilidad si no trabajás con ellos de forma conjunta.

• No ofrecer canales de atención claros a los afectados: aumenta la probabilidad de judicialización.