Si han copiado tu base de datos de clientes y la usan

¿Tienes razón?

Si sospecha que su base de datos ha sido copiada y se está utilizando, hay cuatro elementos que determinarán la solidez de su caso. Primero: la titularidad y la protección de la base; si los datos se recogen bajo condiciones contractuales o políticas que restringen su uso y usted puede probar acceso autorizado limitado, su posición es más fuerte. Segundo: la forma de acceso; la copia por extracción masiva desde sistemas protegidos, por contratación de exempleados con descarga de información o por robo físico de dispositivos constituye un hecho grave. Tercero: el uso que se da a los datos; si se destinan a captar clientes, hacer spam, campañas dirigidas o vender la información, hay daño económico y posiblemente una infracción administrativa por tratamiento indebido de datos personales. Cuarto: la legislación sobre protección de datos y la combinación con secretos empresariales y normas de competencia desleal aplicables.

Es importante diferenciar entre datos públicamente accesibles y bases protegidas: nombres y teléfonos en la guía no son lo mismo que listas compiladas a partir de relaciones comerciales, historiales de compra, preferencias y contratos. La riqueza y especificidad de la base aumentan el interés económico y la protección jurídica.

Cómo se soluciona

1. Preserve evidencia documental. Obtenga logs de acceso a la base, copias de seguridad, registros de exportaciones y cualquier rastro de descargas. Si sospecha de un empleado, localice accesos desde cuentas y fechas. Haga copias forenses de servidores o dispositivos involucrados.

1. Notifique internamente y bloquee accesos. Cambie credenciales, limite permisos y, si procede, suspenda temporalmente usuarios con acceso para evitar más fugas. Documente cada paso para demostrar que actuó con diligencia.

1. Informe a los clientes afectados. Hágalo mediante canales seguros y con un mensaje que explique la situación, los riesgos y las medidas que usted adopta. Ofrezca vías de contacto y, si hay riesgo de fraude, recomiende acciones concretas a los clientes.

1. Reúna pruebas del uso indebido. Detecte campañas, llamadas o mensajes dirigidos con la información sustraída; guarde ejemplos y recopile testimonios de clientes contactados por terceros.

1. Recurra a la autoridad competente. Puede presentar denuncia administrativa por tratamiento indebido de datos personales y, si hubo acceso no autorizado o sustracción, valoración de la vía penal. Paralelamente, considere la acción civil por competencia desleal y violación de secretos empresariales.

1. Negocie o demande. Si identifica al responsable, puede exigir cese del uso y medidas de reparación. Si no hay cooperación, su abogado podrá presentar demanda para cesar la actividad y reclamar daños.

Usted puede iniciar la identificación de accesos y notificar a sus clientes. Las copias forenses, las denuncias formales y las medidas cautelares requieren asistencia técnica y legal.

Qué puede pasar

1) Se arregla con la devolución o cesación del uso de la base. En algunos casos la parte que tomó la lista acepta cesar el uso tras una carta formal y devuelve las copias. Es la solución que evita mayor litigio.

2) Acuerdo o conciliación. Puede negociarse que el tercero deje de utilizar los datos, que destruya las copias y que pague una compensación o asuma medidas de reparación, incluyendo publicidad rectificatoria o medidas de seguridad adicionales.

3) Juicio. Si no hay acuerdo, la vía judicial permite pedir la cesación de uso, indemnización por daños y el reconocimiento de la vulneración. Si pierde la parte demandante, asumirá las costas que el juez determine; y si gana, la ejecución depende de la capacidad patrimonial del demandado.

Y si gana, ¿cobro? Como en otros supuestos, una sentencia favorable no asegura cobro efectivo si el responsable es insolvente. Por eso conviene considerar acuerdos con garantías o medidas preventivas para limitar el daño desde el inicio.

Errores que arruinan el caso

• No preservar logs y evidencias en el primer momento: la ausencia de registros debilita reclamaciones sobre la extracción.
• No informar a los clientes: no avisar puede agravar su responsabilidad y perjudicar pruebas de contacto por parte de terceros.
• Permitir que empleados sigan con acceso sin supervisión tras detectar sospechas; eso facilita nuevas fugas.
• Borrar copias de seguridad o intentar “limpiar” sistemas sin asesoría forense: eso destruye pruebas y puede interpretarse como manipulación.
• Firmar acuerdos de confidencialidad con el tercero sin garantías de cumplimiento y sin control sobre el borrado real de la información.