Si pierdes un portátil con información personal de clientes

¿Tienes razón?

Que la pérdida sea grave depende principalmente de tres factores. Primero, la naturaleza de los datos: si el equipo contenía datos identificativos básicos la gravedad es distinta respecto a datos financieros, de salud o credenciales de acceso. Segundo, las medidas técnicas aplicadas: un disco cifrado y contraseña robusta reduce mucho el riesgo real de acceso no autorizado. Tercero, la posibilidad de correlacionar la información perdida con otras fuentes públicas o internas que permitan identificar a titulares. Si el portátil sólo contenía copias de documentos públicos o referencias sin datos identificativos, el impacto es menor. En cambio, si hay datos sensibles o acceso a sistemas corporativos, la situación exige medidas inmediatas.

También influye si había procedimientos de respaldo y si el dispositivo estaba bajo control de un empleado o era propiedad de la empresa. Cuando un trabajador usa un equipo personal para trabajo sin controles, la responsabilidad puede complicarse: la empresa sigue obligada a demostrar que adoptó medidas de seguridad razonables.

Cómo se soluciona

1. Contención inmediata: localice al responsable del equipo y confirme fecha, hora y circunstancias de la pérdida. Pregunte si se había usado cifrado de disco completo, contraseñas almacenadas, VPN o llaves de acceso. Anote quién tenía acceso a las credenciales.

1. Inventario de datos: haga una lista lo más exacta posible de la información que podía contener el equipo: nombres, direcciones, números de identificación, historiales, contratos, credenciales, bases de datos locales. No confíe en recuerdos: revise inventarios, copias de seguridad y registros de sincronización en la nube.

1. Evaluación del riesgo: clasifique la pérdida por gravedad según las categorías de datos y la facilidad de uso por terceros. Esta evaluación determina si debe comunicar el incidente a las personas afectadas y a la autoridad competente.

1. Medidas técnicas y administrativas: cambie contraseñas y tokens que puedan haber estado en el equipo, invalide sesiones activas, revoque certificados y limítese el acceso desde dispositivos no verificados. Si existía cifrado con contraseña robusta y claves no almacenadas, documente ese hecho.

1. Comunicación y documentación: registre cronología, decisiones y acciones técnicas. Prepare mensajes claros para los afectados si la evaluación indica riesgo. Si la situación lo exige, notifique a la autoridad encargada de protección de datos y facilite la información que requiera.

1. Revisión interna: revise políticas de movilidad y gestión de dispositivos, ajuste controles (cifrado obligatorio, gestión de contraseñas, autenticación multifactor, bloqueo remoto) y forme al personal.

Qué puede hacer usted solo: localizar responsable, inventariar y documentar. Cuándo llamar a un abogado: si hay datos sensibles, acceso a sistemas críticos, reclamaciones de afectados o posible intervención de la autoridad.

Qué puede pasar

1) Se arregla internamente: muchas pérdidas no generan daño real si las medidas técnicas impiden el acceso. En esos casos se informa internamente, se refuerzan controles y no hay consecuencias externas.

2) Acuerdo o resolución administrativa: si hay exposición moderada, puede llegar a acuerdos de mitigación con afectados (monitoreo, apoyo) o resolverse mediante medidas requeridas por la autoridad. La comunicación transparente suele mitigar reputación.

3) Procedimiento ante la autoridad o demanda: si el incidente revela negligencia (falta de cifrado, contraseñas débiles, ausencia de controles) la autoridad puede abrir procedimiento y ordenar medidas o sanciones. En procesos civiles, los afectados pueden reclamar daños. Si la organización pierde un procedimiento, las medidas pueden incluir obligaciones de corrección y sanciones administrativas. Cobrar a la parte responsable depende de su solvencia y de la efectividad de medidas de ejecución.

Si obtiene una resolución favorable, la reparación práctica (monitoreo crediticio, reintegración, restablecimiento de cuentas) dependerá de la capacidad de la empresa para implementarla.

Errores que arruinan el caso

• No documentar la secuencia de hechos ni las acciones que tomó tras la pérdida.
• Esperar a que alguien más detecte la brecha: la falta de respuesta incrementa el riesgo reputacional y procedural.
• Mantener credenciales en texto plano o no revocar accesos tras la pérdida.
• No separar dispositivos personales de los corporativos ni tener políticas de BYOD claras.
• Ocultar la pérdida: la falta de transparencia empeora las consecuencias ante afectados y autoridad.