Filtraron datos de socios o donantes

¿Tienes razón?

La gravedad del caso depende de tres factores. Primero, la sensibilidad de los datos: nombres y teléfonos son distintos de información fiscal, de salud o datos bancarios; cuanto más sensible, mayor la obligación de protegerlos y mayor la responsabilidad si se filtran. Segundo, la extensión de la filtración: un registro parcial afecta de modo distinto a una base completa. Tercero, la causa: si la filtración fue por un error humano (enviar un mail masivo sin copia oculta), por una falla técnica (servidor mal configurado) o por un ataque (acceso no autorizado). La responsabilidad de la asociación nace tanto de la conducta como del resultado: si no había medidas mínimas de seguridad, la entidad puede ser considerada negligente.

Recordá que la protección de datos personales en Argentina combina buenas prácticas y obligaciones derivadas de normas y principios generales; esto exige un enfoque proporcional: medidas de seguridad, políticas internas y formación para quienes manejan la base de datos.

Cómo se soluciona

1) Contención inmediata. Identificá y aislá la fuente: desactivá accesos, cambiá contraseñas, sacá del aire el enlace o archivo comprometido. Conservá toda la información del incidente: logs, correos, pantallazos y cualquier evidencia de acceso o exportación de datos.

2) Evaluá el alcance y la sensibilidad. Hacé un inventario de qué campos se filtraron y cuántas personas resultaron afectadas. Diferenciá datos sensibles de datos no sensibles para priorizar la respuesta.

3) Comunicá a los afectados. Informá a las personas afectadas de forma clara y con la información esencial: qué pasó, qué datos se filtraron, las medidas que tomaste y qué recomendaciones prácticas debieran seguir (por ejemplo, cambiar contraseñas o estar atentos a fraudes). Acompañá la comunicación con un canal de consulta para que puedan preguntar y solicitar acciones.

4) Informá a las autoridades competentes si corresponde. Dependiendo de la naturaleza de los datos y de la normativa aplicable, puede ser necesario dar aviso a la autoridad de control o a otros organismos. Consultá con un profesional para calibrar la obligación de notificación.

5) Remediación técnica y organizativa. Implementá controles: encriptación de bases, backups seguros, restricciones de acceso por rol, autenticación robusta, y políticas de retención de datos. Formá a quienes manejan la información sobre protocolos para evitar errores humanos.

6) Conservá evidencia para posibles reclamos. Guardá logs y comunicaciones; van a ser útiles si alguien demanda o si necesitás defender la actuación de la organización.

Qué podés hacer sola: contener la fuente, cambiar contraseñas, exportar y guardar evidencias, y preparar comunicaciones a los afectados. Cuándo buscar ayuda profesional: cuando hay datos sensibles, cuando la filtración es amplia o cuando hay riesgo de fraude. Un abogado te orienta sobre obligaciones legales y la forma de comunicar para minimizar el riesgo de sanción.

Qué puede pasar

Primero, se resuelve internamente: muchas filtraciones se contienen con medidas técnicas y comunicaciones; las personas afectadas reciben la explicación y no hay daño mayor. Esta salida es común cuando los datos no son sensibles y la respuesta fue rápida.

Segundo, acuerdo o medidas administrativas. Podés acordar con afectados medidas reparatorias o enfrentar investigaciones administrativas que requieran ajustes y certificaciones de seguridad. Un acuerdo puede incluir la adopción de medidas técnicas y compensaciones simbólicas, según la situación.

Tercero, sanciones o demandas. Si la filtración involucra datos sensibles, o si hubo negligencia grave en las medidas de seguridad, puede iniciarse un procedimiento administrativo o una demanda civil por daños. Si esto ocurre, la entidad puede enfrentar la obligación de reparar el daño y posibles sanciones administrativas.

Y si ganás, ¿cobrás? En el contexto de una demanda por filtración, una sentencia favorable puede ordenar reparación económica para afectados; cobrar dependerá de la capacidad patrimonial de la entidad y de cómo se ejecute la sentencia.

Errores que arruinan el caso

• Borrar logs o evidencias del incidente. Eso impide demostrar qué ocurrió y cuándo, y levanta sospechas de intento de ocultamiento.
• Minimizar la comunicación. No informar o informarlo mal aumenta la desconfianza y puede agravar sanciones.
• No auditar accesos tras el incidente. Sin auditoría no sabés si el problema persiste.
• No separar funciones: permitir que demasiadas personas manejen la base sin control facilita errores.