Si pierdes un portátil con información personal de clientes

¿Tienes razón?

Perder un portátil que contiene información personal es una situación que puede variar desde un susto hasta un incidente serio. Lo que determina la gravedad son tres elementos: la sensibilidad de los datos (por ejemplo, RUT y salud frente a solo nombres), las medidas de seguridad aplicadas (cifrado de disco, contraseñas fuertes, acceso remoto) y la probabilidad de acceso no autorizado (si estaba sin contraseña o fue robado). Si los archivos estaban cifrados y el portátil tenía control de acceso remoto, tu exposición es mucho menor. Si, por el contrario, el equipo estaba sin protección y con contraseñas guardadas, la probabilidad de un incumplimiento real aumenta.

Además, hay que valorar a quién pertenecen los datos: clientes actuales, ex clientes o listas de marketing. Datos de clientes vinculados a obligaciones contractuales (facturación, garantías) implican responsabilidades distintas a las listas abiertas para marketing. Finalmente, la respuesta administrativa depende de si hubo filtración demostrable: documentar todo y preservar pruebas es la base para cualquier defensa.

Cómo se soluciona

1. Asegura el perímetro técnico. Si el portátil está conectado a un servicio de administración remota, intenta bloquearlo o eliminar datos a distancia. Cambia las contraseñas de las cuentas que se usaban en el equipo: correo, CRM, VPN. Revoca tokens y sesiones activas. Si no tienes acceso remoto, avisa al proveedor de gestión de dispositivos y solicita bloqueo.

1. Identifica los datos expuestos. Haz un inventario provisional: qué carpetas o aplicaciones estaban en el portátil, si había bases de datos locales o archivos con listados. Prioriza por sensibilidad: datos de salud o financieros primero; listados de contactos después.

1. Documenta todo. Anota fecha y hora del descubrimiento, quién lo detectó, y los pasos que tomaste. Conserva capturas de pantalla de accesos sospechosos y correos relacionados. Esta cronología será clave para la autoridad y para cualquier acción con clientes.

1. Evalúa el riesgo y decide notificar. Según la naturaleza de los datos y la existencia de medidas de mitigación (cifrado, bloqueo remoto), decide si es necesario notificar a los titulares afectados y documenta el criterio. Aunque la decisión de notificar puede ser técnica, registrar el análisis es imprescindible.

1. Comunica a quienes corresponda. Si vas a notificar clientes, explica qué pasó, qué datos pudieron verse afectados, qué medidas tomaste y qué pasos prácticos pueden seguir las personas para protegerse (por ejemplo, cambiar contraseñas). Mantén el mensaje claro y sin alarmismos.

1. Revisa y corrige procesos. Identifica por qué se perdió el dispositivo y qué controles fallaron. Refuerza cifrado de disco, gestión de acceso, copias seguras y políticas de movilidad. Considera formación obligatoria para quienes manejan datos sensibles.

1. Relación con proveedores y la autoridad. Si utilizas un proveedor de gestión de dispositivos, coordina acciones y registra evidencias. Si la autoridad competente lo requiere, proporciona la documentación del incidente y las medidas tomadas.

Qué puedes hacer hoy sin abogado: bloquear cuentas, cambiar contraseñas, y documentar el incidente. Llama a un abogado si hay datos sensibles expuestos, si hay múltiples titulares reclamando, o si la autoridad inicia una investigación.

Qué puede pasar

1) Se arregla internamente y se notifica a clientes seleccionados. Muchas incidencias se resuelven con acciones técnicas inmediatas y comunicaciones a los afectados. Esto suele cortar el daño reputacional si la comunicación es clara.

2) Acuerdo o conciliación. Si clientes reclaman, podrías negociar medidas compensatorias y compromisos para mejorar seguridad. Un acuerdo puede evitar procedimientos largos.

3) Investigación administrativa o sanción. Si la autoridad determina que hubo negligencia grave (por ejemplo, falta de cifrado en datos sensibles), puede ordenar medidas correctivas o imponer sanciones. En un procedimiento judicial, la discusión será si existió negligencia y qué medidas faltaron. Si pierdes, pueden imponerse costos de defensa y, en última instancia, consecuencias económicas; también está la cuestión práctica de que una sentencia no asegura la reparación completa si el responsable no tiene recursos.

Y si ganas, ¿cobras? En general, una determinación favorable contra la organización puede llevar a la implementación de medidas y, si hay condena por daños, a indemnizaciones. Pero cobrar depende de la solvencia del responsable y de si existen seguros que cubran la responsabilidad por incidentes de datos.

Errores que arruinan el caso

• No documentar el incidente desde el primer minuto: pérdida de trazabilidad debilita cualquier defensa.
• Esperar sin cambiar contraseñas ni bloquear accesos.
• Minimizar el alcance ante los titulares: ocultar información puede agravar sanciones y dañar la confianza.
• No revisar contratos con proveedores de gestión de dispositivos: podrías descubrir que no contrataron las medidas prometidas.
• No cifrar discos en equipos que contienen datos personales: es una de las fallas más frecuentes y evitables.