Si pierdes un portátil con información personal de clientes

¿Tienes razón?

Perder un portátil con datos de clientes puede constituir una vulneración de seguridad que obliga a actuar. Si el ordenador contenía información personal identificable, tres factores marcan la gravedad: el tipo de datos (si son sensibles o no), las medidas de seguridad aplicadas (cifrado, contraseña fuerte, autenticación) y la probabilidad de que terceros accedan a la información.

• Datos sensibles (salud, origen étnico, creencias, información biométrica) elevan el riesgo: la carga de respuesta es mayor.
• Si el dispositivo estaba cifrado y con autenticación fuerte, el riesgo real disminuye, y eso influye en si debe notificar a los titulares o solamente registrar internamente el incidente.
• Si hay indicios de acceso por terceros (por ejemplo, actividad inusual en cuentas o intentos de ingreso), la actuación debe ser más amplia y documentada.

No todos los casos terminan en sanción: lo que importa es si implementó medidas técnicas y administrativas razonables y cómo documenta la respuesta.

Cómo se soluciona

1. Contener la exposición inmediata:

• Cambie claves y desactive accesos remotos y cuentas vinculadas. Si el portátil tenía acceso directo a servidores o correos, fuerce el cierre de sesiones y cambie credenciales.
• Si usa soluciones de gestión de dispositivos (MDM), active el borrado remoto o bloqueo.

1. Identificar el alcance:

• Liste los ficheros que podían estar en el dispositivo: bases de datos locales, copias de correo, hojas de cálculo con clientes, claves almacenadas en navegadores.
• Determine si los datos son sensibles y cuántos titulares podrían verse afectados.

1. Documentar el incidente:

• Haga un registro escrito con fecha y hora: cómo se perdió el equipo, qué medidas técnicas había, qué cuentas estaban vinculadas y qué pasos tomó al conocer la pérdida.
• Conserve evidencias: comunicaciones internas, órdenes de bloqueo, solicitudes de cambio de clave.

1. Notificar internamente y evaluar la necesidad de notificar a titulares y autoridad:

• En función del riesgo, comunique a los clientes cuya información pueda estar comprometida. Sea preciso sobre qué datos pudieron verse afectados y qué medidas se han tomado.
• Considere informar a la autoridad de protección de datos si el riesgo para los titulares es alto.

1. Medidas correctoras:

• Reforzar políticas de cifrado y gestión de dispositivos; exigir autenticación multifactor; limitar datos locales en portátiles.
• Revisar acuerdos con proveedores y formación de personal.

1. Preventiva: implemente inventario y control de activos, copias cifradas, y clasifique datos para minimizar la información que circula en dispositivos portátiles.

Qué puede hacer usted solo: cambiar contraseñas, solicitar bloqueo remoto, registrar el incidente y comunicar a los clientes cuando proceda. Cuándo llamar a un abogado: si la información es sensible, si ya hay reclamaciones, o si la autoridad inicia investigación.

Qué puede pasar

1) Se arregla con comunicación: muchas pérdidas se resuelven con una notificación transparente al titular y medidas de mitigación. Una respuesta rápida y proporcional reduce la probabilidad de sanción.

2) Acuerdo o conciliación: si hay daños concretos (fraude, suplantación), puede negociarse reparación con los afectados y evitar procesos largos.

3) Procedimiento administrativo o demanda: si hubo negligencia grave (poca seguridad, falta de cifrado cuando era razonable) la autoridad puede imponer medidas o sanciones. En juicio, si los titulares prueban daños, reclaman reparación; si la organización pierde, puede tener que pagar indemnización y asumir costas. Si el responsable es solvente, la condena puede cumplirse; si es insolvente, la reparación práctica se complica.

Errores que arruinan el caso

• No documentar los pasos tomados tras la pérdida. La falta de registro empeora su posición.
• Retrasar o no realizar cambios de credenciales y bloqueo remoto.
• Minimizar el incidente sin evaluación del riesgo real ni comunicación con los titulares cuando corresponde.
• Mantener datos innecesarios en dispositivos portátiles en lugar de usar accesos remotos a servidores controlados.