La empresa donde compré tuvo fuga de datos de clientes

¿Tienes razón?

Que la empresa haya sufrido una fuga de datos no significa automáticamente que usted tenga un caso ganador: lo que determina su posición son tres cosas concretas. Primero, la naturaleza de los datos filtrados: si son datos sensibles o financieros (por ejemplo, números de cuentas, claves o información de salud) su riesgo y la obligación de la empresa son mayores. Segundo, qué hizo la empresa tras detectar la fuga: la normativa exige medidas para mitigar el daño y notificar a las personas afectadas; si no hubo medidas ni comunicación, su posición es más fuerte. Tercero, el daño efectivo: si con la fuga sufrió fraude, suplantación de identidad o pérdidas económicas demostrables, tiene una reclamación más sólida. Si la empresa documenta que el incidente fue aislado y que actuó conforme a protocolos, su caso puede ser más débil, aunque no inexistente.

Tenga en cuenta que hay una diferencia entre la ocurrencia técnica de una brecha y el incumplimiento legal: una brecha ocurre, el incumplimiento es que la empresa no haya aplicado medidas razonables de seguridad o no le haya informado según corresponda.

Cómo se soluciona

1. Reúna y preserve la prueba:

• Identifique qué datos suyos aparecen en la brecha: archivos publicados, pantallazos, mensajes de phishing que reciba, movimientos extraños en cuentas. Guarde capturas con fecha y exporte correos o conversaciones. No borre notificaciones y no responda mensajes de servicio sin antes documentarlos.
• Busque comprobantes de compras, contratos o comunicaciones con la empresa que demuestren la relación cliente–empresa.

1. Exija información por escrito (usted mismo, sin abogado):

• Envíe un derecho de petición a la empresa solicitando: confirmación de si usted fue afectado, alcance de los datos filtrados, medidas adoptadas para mitigar el daño y si hubo terceros involucrados. Guarde constancia de envío y de la respuesta.
• Si la empresa es un proveedor de servicios financieros, de salud o una gran plataforma digital, incluya en la petición la solicitud de medidas específicas que considere necesarias (por ejemplo, bloqueo de cuentas, cambio de contraseñas) y la copia de los análisis forenses realizados.

1. Denuncie ante la autoridad de protección de datos:

• Si la respuesta de la empresa es insuficiente o no responde, presente una queja ante la autoridad competente describiendo la fuga y adjuntando la documentación. La autoridad puede investigar, imponer medidas de corrección y sanciones administrativas.

1. Evalúe acciones civiles y medidas urgentes:

• Si sufrió fraude, pérdida económica o riesgo a su seguridad, considere acciones civiles para reparar daños y, cuando proceda, una acción de tutela si están en juego derechos fundamentales como la intimidad o la seguridad personal. Para la tutela no necesita abogado. Si la empresa ofrece compensación o acuerdo, consúltelo con un profesional antes de aceptar.

1. Proteja sus cuentas ahora mismo:

• Cambie contraseñas, active autenticación adicional cuando esté disponible, vigile movimientos en sus cuentas bancarias y denúncielos al banco si detecta actividad sospechosa. Informe al operador de su tarjeta si aparecen cargos no autorizados.

Qué puede hacer usted sin abogado: enviar el derecho de petición, reunir prueba, presentar la queja ante la autoridad y tomar medidas preventivas en sus cuentas. Cuándo buscar abogado: si la empresa ofrece un acuerdo, si hay reclamación de dinero, si hay daño patrimonial serio o si la autoridad inicia procedimiento complejo.

Qué puede pasar

1) Se arregla con la empresa mediante comunicación y medidas prácticas. Esto es relativamente habitual: la empresa reconoce el incidente, ofrece medidas de mitigación (revisión de cuentas, restablecimiento de credenciales, protección de identidad por un tiempo) y en algunos casos una compensación. Un acuerdo rápido evita trámites y restaura su seguridad antes.

2) Conciliación o acuerdo formal. Si usted reclama daños patrimoniales o morales, la empresa puede proponer una conciliación o un arreglo extrajudicial. Esto puede implicar reconocimiento de responsabilidad parcial, un monto negociado y cláusulas sobre medidas de seguridad futuras. Un acuerdo puede ser mejor que ir a juicio porque evita incertidumbres, tiempo y costas.

3) Juicio. Si no hay acuerdo, puede tramitar una demanda civil por reparación de daños. En ese proceso la empresa puede alegar que actuó de buena fe y que aplicó medidas razonables; usted debe probar el nexo entre la fuga y el daño. Si pierde, el juez puede condenarlo al pago de costas procesales según la valoración del caso; si gana, la ejecución de la sentencia frente a una empresa insolvente o con problemas patrimoniales puede dificultar el cobro.

Y si gana, ¿cobra? Una sentencia a su favor es necesaria pero no suficiente: para cobrar hay que ejecutar contra los bienes de la empresa. Si la empresa no tiene activos suficientes, la sentencia será un reconocimiento jurídico del daño pero la recuperación material puede ser parcial o nula.

Errores que arruinan el caso

• Borrar o no conservar pruebas: eliminar correos, chats o capturas antes de exportarlas destruye la base probatoria. Exporte y guarde todo con fechas.
• No pedir información formalmente: no presentar un derecho de petición deja huecos en la cadena de reclamación ante la autoridad o ante un juez.
• Aceptar ofertas informales sin documentarlas: un arreglo verbal es difícil de probar; exija siempre un acuerdo por escrito.
• Publicar pruebas sin cuidado: compartir datos en redes puede empeorar el daño y complicar la evaluación del perjuicio.
• Esperar sin proteger sus cuentas: no cambiar contraseñas ni alertar al banco puede aumentar el daño y complicar la prueba del nexo.