Si has publicado por error datos personales en tu web

¿Tienes razón?

Publicar datos personales en tu web por error puede vulnerar obligaciones legales y generar reclamaciones de los titulares. Lo que determina si tu situación es grave son cuatro factores: 1) la naturaleza de los datos publicados —datos sensibles (salud, ideología), números únicos (RUT), datos financieros o claves aumentan el riesgo—; 2) el alcance de la publicación —si quedó indexada en buscadores o era un área privada—; 3) si hubo acceso o descarga por terceros; y 4) tu diligencia para corregir el error y prevenir nuevos accesos.

Si publicaste información sensible o identificadores únicos y la página quedó pública y indexada, la consecuencia puede ser relevante: obligación de remediar y, en ocasiones, de notificar a los afectados y a la autoridad. Si fueron datos no sensibles y lograste retirar la publicación y eliminar caches de buscadores rápidamente, el daño real suele ser menor.

No te culpes de entrada: los errores de configuración y las migraciones web son causas frecuentes. Lo importante es la reacción y la documentación.

Cómo se soluciona

1) Actúa sobre el contenido y conserva evidencia (puedes hacerlo hoy).

• Toma capturas completas de la página tal como está y guarda HTML, imágenes y enlaces. Exporta los logs del servidor y del CMS que muestren acceso y modificaciones.
• Si vas a eliminar o modificar la página, primero realiza las copias y descargas; después procede a retirar el contenido.

2) Retira la publicación y controla los accesos.

• Cambia permisos de archivos, despublícalo o mueve el contenido a un área privada. Cambia contraseñas de usuarios con acceso al CMS y activa autenticación adicional si está disponible.

3) Elimina caches y versiones públicas.

• Solicita la eliminación de la página de caches y de motores de búsqueda. Si terceros replicaron la información, pide la retirada por escrito y guarda las respuestas.

4) Clasifica a los titulares y evalúa el riesgo.

• Identifica quiénes son las personas afectadas y qué impacto pueden sufrir (suplantación, fraude, daño reputacional). Esta valoración es clave para decidir si informar a los titulares y a la autoridad.

5) Notifica y ofrece remedio.

• Si el riesgo es significativo, informa a los titulares explicando qué sucedió, qué datos estuvieron expuestos, qué medidas tomaste y qué pueden hacer para protegerse (por ejemplo, cambiar contraseñas o vigilar cuentas). Mantén un registro de estas comunicaciones.

6) Implementa medidas para evitar repetición.

• Revisa permisos del CMS, controla backups, automatiza revisiones antes de publicar, establece un protocolo interno para el manejo de datos personales y capacita al personal.

7) Valora asesoría legal.

• Si hay reclamaciones, posibles daños o la información fue replicada por terceros, consulta con un abogado para preparar respuestas formales, gestionar solicitudes de retiro y, si hace falta, negociar o defenderte ante la autoridad.

Diferencia entre lo que puedes hacer tú y lo que requiere experto:

• Tú: copias, retirada de la página, solicitudes a buscadores, cambio de credenciales, comunicación inicial a afectados.
• Experto: redacción de comunicaciones legales, negociación con terceros que replicaron contenido, defensa ante la autoridad y gestión de reclamaciones por daño moral o patrimonial.

Qué puede pasar

1) Se arregla con una carta y retirada: la solución más común.

• Retirando la información y ofreciéndole a las personas afectadas medidas de mitigación (explicación, disculpa, guía de protección), la mayoría de los casos se cierran sin sanciones. Registrar las acciones te protege ante futuras reclamaciones.

2) Acuerdo o reparación.

• Si alguien alega daño —pérdida económica o reputación— puedes llegar a un acuerdo que incluya compensación, retractación o medidas concretas. Un acuerdo puede ser preferible a un procedimiento largo.

3) Procedimiento ante autoridad o demanda civil.

• Si se demuestra negligencia grave o exposición de datos sensibles, la autoridad puede requerir antecedentes y aplicar sanciones. En sede civil, la persona afectada puede reclamar indemnización. Si pierdes, podrías enfrentar pago de costas y una indemnización, y una sentencia no garantiza cobro efectivo si la organización no tiene patrimonio suficiente.

Y si ganas, ¿cobras? Una sentencia favorable no siempre se traduce en cobro efectivo; por eso la prevención y documentación de las medidas adoptadas tras la detección suelen ser la mejor defensa.

Errores que arruinan el caso

• Eliminar la evidencia antes de exportarla (capturas, logs, versiones), perdiendo prueba clave.
• No notificar a los afectados cuando el riesgo es alto; la falta de transparencia agrava la valoración de la autoridad.
• Depender solo de avisos verbales o promesas internas sin dejar constancia escrita de las medidas adoptadas.
• No cambiar credenciales ni revisar permisos tras el incidente, permitiendo accesos repetidos.
• No revisar backups o versiones antiguas que sigan exponiendo datos tras la eliminación.