Si has sufrido una brecha de datos en tu empresa y no sabes qué hacer

¿Tienes razón?

No existe una sola respuesta para todas las brechas: el criterio clave es el riesgo que el incidente genera para los derechos de las personas cuyos datos se vieron expuestos. Tres factores determinan la obligación de actuar y notificar: la naturaleza de los datos (si incluyen información sensible o que permita suplantación), el alcance del incidente (qué sistemas y cuántas personas están afectadas) y la capacidad de tu empresa para contener y remediar rápidamente. Si el incidente puede permitir suplantaciones, fraudes o vulneración de la intimidad, la urgencia de medidas y de comunicación es mayor.

Importa también cómo ocurrió la brecha: un fallo técnico interno es distinto a un acceso no autorizado por un tercero. Si la brecha proviene de un proveedor o de un subencargado, la relación contractual y la supervisión que realizaste se vuelven relevantes para evaluar tu responsabilidad. En todo caso, la diligencia exige documentar todas las decisiones.

Cómo se soluciona

1) Contención inmediata. Identifica y aísla el vector de la brecha: desconecta accesos indebidos, bloquea cuentas comprometidas y aplica medidas técnicas para impedir la progresión del incidente. Si no tienes un equipo interno, pide soporte técnico externo y documenta cada intervención.

2) Preservación de evidencias. Haz copias de logs, registros de accesos, respaldos y cualquier traza que permita reconstruir lo ocurrido. Guarda esas copias fuera del entorno afectado para evitar su modificación. Documenta con quién y cuándo accedió a estos archivos.

3) Evaluación del alcance. Determina qué bases de datos, ficheros o servicios se vieron afectados, y clasifica los tipos de datos expuestos. Identifica a las personas afectadas y el riesgo concreto para cada categoría de dato.

4) Comunicación interna y responsabilidades. Informa a la dirección, al responsable de cumplimiento y a quienes deban coordinar la respuesta (seguridad, TI, comunicación). Asigna tareas y plazos internos para mitigación y seguimiento.

5) Notificaciones externas. Según el riesgo, prepara comunicaciones para las personas afectadas y para terceros relevantes. La comunicación debe explicar qué ocurrió, qué datos se vieron afectados, qué medidas adoptaste y cómo pueden contactarte. Si procede notificar a autoridades, reúne la documentación técnica y legal que respalde la decisión.

6) Medidas de reparación. Cambia credenciales afectadas, actualiza sistemas, obliga a la rotación de claves y aplica parches. Ofrece a los afectados medidas de mitigación razonables según el riesgo: monitorización de cuentas, asesoría para protección de identidad o pasos prácticos para reducir el daño.

7) Revisión y prevención. Tras la gestión inicial, realiza un análisis de causa raíz para corregir fallas y actualizar políticas, cláusulas contractuales y controles técnicos. Implementa auditorías periódicas y exige cumplimiento a proveedores.

Actuaciones que puedes hacer sin abogado: contener, preservar pruebas y comunicar internamente. Busca asesoría legal cuando la brecha afecte datos sensibles, haya riesgo de sanción regulatoria o cuando los afectados anuncien reclamaciones colectivas.

Qué puede pasar

1) Resolución mediante medidas internas y comunicación. Muchos incidentes se solucionan con contención técnica, notificación a afectados y mejora de controles. Un cierre coordinado limita el daño reputacional y operativo.

2) Acuerdo o gestión administrativa. Si hay reclamaciones de afectados, podrás negociar soluciones o compensaciones. Un acuerdo evita la litigiosidad y puede incluir compromisos de mejora y garantías. Para la empresa, un acuerdo bien redactado reduce la exposición a sanciones futuras.

3) Procedimiento administrativo o judicial. Las autoridades o las personas afectadas pueden iniciar acciones. En un procedimiento, la prueba documental sobre lo que hiciste y cuándo lo hiciste será decisiva. Si se dicta una condena, su ejecución depende de activos y solvencia. Perder un caso puede implicar pago de costas y obligaciones de reparación.

Y si ganas, ¿cobras? Una resolución favorable puede ordenar medidas o incluso indemnizaciones, pero la efectividad depende de la capacidad de la otra parte para cumplir. Por eso es importante asegurarse de garantías desde el inicio, como cláusulas contractuales y seguros que cubran incidentes.

Errores que arruinan el caso

• No preservar logs ni copias de seguridad: la ausencia de evidencia técnica impide demostrar la causa y la diligencia.

• Minimizar la afectación sin base técnica: restar importancia en comunicaciones puede perjudicarte si luego aparece evidencia contraria.

• No documentar decisiones internas: no anotar quién ordenó qué y cuándo dificulta justificar la respuesta.

• Reenviar datos sensibles por canales inseguros al comunicar a afectados o autoridades.

• Firmar acuerdos de confidencialidad que impidan la cooperación con autoridades sin la debida asesoría legal.