Un empleado ha vendido datos personales: pasos urgentes que debes tomar

¿Tienes razón?

La gravedad del caso depende de cuatro factores: la tipología de los datos (datos sensibles o identificadores básicos), la amplitud de la divulgación (cuántas personas), la finalidad del uso por parte del tercero que compró la información, y el papel del empleado (si actuó con acceso legítimo o abusó de privilegios). Si los datos comprenden información sensible —salud, origen racial, creencias— o datos financieros, el riesgo es mayor. Si la venta fue aislada y el resto de controles funcionan, la respuesta será interna y administrativa; si la práctica es sistémica o hay lucro, puede activar responsabilidad penal.

También es decisivo qué medidas de seguridad tenía la empresa: políticas internas, controles de acceso, registros de auditoría. La ausencia de medidas adecuadas agrava la responsabilidad de la empresa frente a afectados y autoridades.

Cómo se soluciona

1. Preserve evidencia y bloquee el incidente. Guarde copias forenses de los equipos y cuentas del empleado, logs de acceso y comunicaciones relevantes. No borre correos ni registros; documente todo lo actuado.

1. Suspenda el acceso del empleado que figura en la investigación y realice una auditoría interna. Cambie credenciales, limite accesos y active mecanismos para impedir que se extraiga más información. Si el empleado está en riesgo de destruir pruebas, considere medidas disciplinarias inmediatas que no impliquen expulsión sin respaldo documental.

1. Identifique la naturaleza y el alcance de los datos difundidos. Haga un catastro de los afectados, el tipo de datos comprometidos y la entidad o personas que compraron la información. Esto servirá para dimensionar la respuesta y para las comunicaciones que deba hacer.

1. Notifique a las personas afectadas y a las autoridades si corresponde. Según la ley y la naturaleza del dato puede existir obligación de informar a los titulares. El contenido de la comunicación debe explicar qué pasó, qué datos se vieron afectados y qué medidas de mitigación se adoptan. Evite formular juicios definitivos en la comunicación hasta tener la investigación cerrada.

1. Cooperación con autoridades y decisiones disciplinarias. Si hay indicios de delito, notifique a la autoridad competente y entregue la evidencia preservada. Internamente, aplique el régimen disciplinario previsto en su política y en la normativa laboral, garantizando el derecho de defensa del empleado.

1. Remedios técnicos y preventivos. Revise y mejore políticas de control de accesos, encriptación, registros y formación del personal. Implemente registro de actividad, separación de funciones y controles sobre exportación de datos.

1. Evalúe responsabilidad civil y posibles indemnizaciones. Determine si corresponde ofrecer remedios a los afectados, como monitoreo de identidad o compensaciones, y documente las acciones adoptadas.

Qué puede pasar

1) Se arregla con medidas internas y comunicaciones. En muchos casos la empresa suspende al empleado, recupera parte de la información y comunica a los afectados medidas de mitigación: esto reduce sanciones administrativas y restablece confianza.

2) Acuerdo o solución administrativa. Puede llegarse a soluciones que incluyan indemnizaciones o medidas de reparación a los afectados. A veces la negociación con titulares evita acciones colectivas y sanciones mayores.

3) Investigación penal y sanciones administrativas. Si la venta implica delito, la fiscalía puede abrir investigación y el empleado puede enfrentar cargos penales. La empresa puede recibir sanciones por no haber protegido adecuadamente los datos. Si pierde en un procedimiento administrativo o judicial, puede tener que pagar indemnizaciones y afrontar medidas correctivas impuestas por la autoridad.

Y si gana, ¿cobro? Obtener una sentencia contra el empleado no garantiza recuperar el dinero si éste no dispone de bienes. Por eso la vía preventiva (seguro, cláusulas contractuales de resarcimiento, retenciones) es importante.

Errores que arruinan el caso

• Permitir que el empleado borre o manipule evidencia: perderá la posibilidad de sustentar cargos.
• No documentar la investigación: decisiones disciplinarias sin soporte son vulnerables.
• Ocultar el incidente a los afectados o a la autoridad cuando exista obligación de notificar: agrava responsabilidad.
• Firmar acuerdos de confidencialidad con afectados sin analizar responsabilidades: puede encubrir obligaciones legales.
• No revisar y actualizar controles técnicos después del incidente, facilitando una recaída.