Filtraron datos de estudiantes en una institución

¿Tienes razón?

La responsabilidad de la institución depende de cuatro factores: la naturaleza de los datos filtrados (si incluyen datos sensibles como salud o disciplina), la relación contractual o estatutaria con el estudiante o apoderado, las medidas técnicas y administrativas adoptadas por la institución y la forma en que se gestionó la comunicación tras la filtración. Si la escuela almacenó datos sin medidas mínimas de seguridad o no notificó la filtración, es más probable que exista responsabilidad.

También cuenta si los datos se filtraron por acción de un tercero externo (ataque informático) o por negligencia interna (empleado que comparte información). En ambos casos, la institución como responsable del tratamiento de datos tiene deberes: investigar, mitigar daños y notificar a los afectados según lo exija la normativa aplicable.

Cómo se soluciona

1. Documente la filtración. Guarde evidencias: capturas, enlaces publicados, archivos descargados, correos con la información y cualquier notificación emitida por la institución. Anote fechas, nombres y el alcance (quién tuvo acceso a los datos y cuántos estudiantes están afectados).

1. Exija información por escrito a la institución. Solicite que expliquen qué ocurrió, qué datos se filtraron, qué medidas han tomado y qué acciones de mitigación ofrecen (por ejemplo, asistencia para cambio de contraseñas, monitoreo). Pida copia de la investigación interna.

1. Proteja a su hijo o hija. Cambie contraseñas asociadas a cuentas escolares, verifique accesos y, si hay datos sensibles expuestos (salud, disciplina), solicite medidas específicas y asesoría sobre los riesgos derivados.

1. Denuncie a la autoridad competente si la institución no responde o la respuesta es insuficiente. En Ecuador, puede acudir a instancias designadas para protección de datos y, si procede, a la Defensoría del Pueblo o a instancias judiciales para reclamar reparación por daños.

1. Considere acciones civiles o administrativas. La institución puede ser requerida a reparar daño moral o material, y puede ser sujeta a sanciones administrativas si se demuestra negligencia en las medidas de protección.

Qué puede hacer usted solo: recopilar pruebas, exigir información y tomar medidas de protección para la cuenta del estudiante. Cuándo necesita un profesional: si la institución se niega a colaborar, si hay riesgo real de uso indebido de los datos (suplantación, daño reputacional) o si busca una reparación económica o medidas cautelares. Un abogado orientará sobre la viabilidad de la demanda y coordinará peritajes forenses si es necesario.

Qué puede pasar

1) Se arregla con una respuesta de la institución. Frecuentemente la escuela ofrece una explicación, remedia la vulnerabilidad y comunica medidas de reparación (por ejemplo, asesoría y monitoreo). Esto suele ser la salida más rápida y práctica.

2) Acuerdo o conciliación. La institución puede ofrecer compensaciones, disculpas formales y medidas técnicas adicionales. Un acuerdo puede incluir compromisos de mejora de seguridad y seguimiento para evitar nuevos incidentes.

3) Juicio o procedimiento administrativo. Si la institución actuó con negligencia grave o la filtración produjo daños significativos, puede iniciarse un procedimiento administrativo o una demanda civil para exigir responsabilidad. En juicio se analizarán las medidas de seguridad que la institución tenía implementadas y la correlación entre la filtración y el daño. Si se obtiene una sentencia favorable, la ejecución depende de la capacidad patrimonial del responsable.

Una consideración práctica: incluso con una sentencia favorable, la reparación efectiva requiere que el responsable tenga bienes o seguros que cubran la obligación. Por eso conviene valorar alternativas como acuerdos que incluyan medidas técnicas concretas.

Errores que arruinan el caso

• No guardar evidencia de la filtración en el momento en que la detecta. Los enlaces pueden eliminarse y los archivos desaparecer.
• Confiar en comunicados verbales de la institución sin pedir confirmación por escrito.
• No cambiar contraseñas o dejar cuentas expuestas tras la filtración.
• Difundir los datos filtrados por redes sociales; eso puede agravar el daño y complicar la reclamación.
• No solicitar una investigación técnica que demuestre la causa de la filtración y las medidas tomadas.