Si un empleado ha vendido datos personales de clientes, la empresa tiene la obligación de contener la filtración, investigar y notificar a las autoridades y a los titulares cuando proceda. Actúe en varias líneas: contenga el acceso técnico, preserve evidencia, identifique el alcance y notifique según la normativa de protección de datos y las buenas prácticas, además de evaluar las acciones laborales y penales contra el empleado.
Cuéntanoslo y te lo analizamos gratis en un minuto: qué opciones tienes, qué urge y qué contarle al abogado.
Analizar mi caso gratis Sin compromiso · Gratis
Para valorar la gravedad y su posición hay cuatro preguntas clave: qué tipo de datos se vendieron (información sensible o no), cuántas personas se vieron afectadas, qué canal usó el empleado para la exfiltración y si hubo negligencia o violación deliberada de protocolos. Si los datos son sensibles o el volumen es grande, la obligación de la empresa de adoptar medidas es mayor. Si el empleado actuó con acceso legítimo pero excedió funciones, hay responsabilidad disciplinaria y, potencialmente, penal. Si los controles de seguridad eran laxos, la responsabilidad empresarial puede aumentar.
Otro elemento a considerar es si en su política de privacidad y contratos con clientes figura el tratamiento de datos y las medidas de seguridad. Si la empresa cumplía con medidas básicas de seguridad y registró accesos, su defensa administrativa será más sólida. Si no tenía políticas ni controles, la exposición frente a sanciones puede ser alta.
Documente todo: logs de acceso, respaldos, correos, sistemas de ticketing, CCTV si aplica, contratos y cláusulas de confidencialidad firmadas por el empleado. Esa evidencia sirve tanto para acciones disciplinarias como para la eventual notificación a autoridades.
Qué puede hacer usted solo: cortar el acceso del empleado y recopilar logs básicos. Para la copia forense, la notificación formal y la derivación penal es recomendable contar con asesoría técnica y jurídica.
1) Se arregla internamente: En muchos casos la empresa sanciona disciplinariamente, recupera datos y ofrece remedios a los afectados. Esto mitiga sanciones administrativas si la empresa demuestra reacción y reparación.
2) Acuerdo o demanda administrativa: Los titulares afectados o la autoridad de protección de datos pueden llegar a acuerdos o imponer sanciones administrativas. Negociar acuerdos con los titulares puede reducir el riesgo reputacional y económico.
3) Investigación penal y sanción: Si hay indicios de delito (apropiación indebida, fraude, acceso indebido a sistemas), puede iniciarse investigación penal contra el trabajador. En el proceso, la evidencia forense y los logs son decisivos. Si pierde la empresa en procedimientos administrativos, puede enfrentar multas y obligación de reparación.
Y si gana, ¿cobra? Si obtiene condena civil o penal que ordena indemnización, el cobro depende de la capacidad patrimonial del empleado o de terceras responsabilidades. En casos de incumplimiento de controles, la empresa puede ser considerada responsable y deberá reparar a los titulares.
Debe involucrar abogado cuando la filtración es masiva, cuando hay datos sensibles, si la Superintendencia de Industria y Comercio inicia investigación o si piensa presentar denuncia penal. El abogado ayudará a coordinar la notificación, preservar la cadena de custodia y diseñar la respuesta administrativa y disciplinaria. Si tiene recursos limitados, consulte la defensoría o asesoría gratuita en entidades públicas.
Otros problemas frecuentes en derecho informático y nuevas tecnologías
Depende del alcance y del tipo de datos comprometidos. Si la filtración afecta derechos de los titulares o hay riesgo alto de daño, conviene notificar y documentar las medidas tomadas. La decisión debe basarse en el análisis de riesgo y en la normativa de protección de datos.
Puede adoptar medidas disciplinarias provisionales y, según el reglamento interno y las pruebas, proceder a una suspensión o terminación por justa causa. Asegúrese de documentar la investigación disciplinaria para justificar la decisión.
Sí, si se preservan con cadena de custodia y, preferiblemente, con peritaje forense. Los logs forenses acreditan accesos, exportaciones y actividades del sistema.
La compensación depende del tipo de datos y del riesgo. Ofrecer medidas de mitigación y asistencia puede reducir el daño reputacional y facilitar acuerdos extrajudiciales, además de demostrar diligencia ante autoridades.
Revea control de accesos, registros y monitoreo, encriptación de bases de datos, políticas de privilegios mínimos y cláusulas contractuales con terceros sobre seguridad y notificación de incidentes.
Te conectamos con los mejores abogados especializados. Consulta gratuita y sin compromiso.
