Se filtró la base de datos de mis clientes

¿Tienes razón?

Tres cosas determinan si tienes una posición sólida ante una filtración: qué tipo de datos se perdieron; las medidas de seguridad que aplicabas; y si existen contratos o avisos de privacidad que prometían mayor protección. Si los datos son información altamente sensible (por ejemplo, datos financieros, expedientes clínicos o credenciales) y no aplicaste medidas mínimas de seguridad, tu responsabilidad puede ser mayor. Si, por el contrario, aplicabas cifrado, control de accesos y políticas documentadas, eso fortalece tu defensa y te ayuda a reclamar a terceros que hayan vulnerado tu sistema.

Además revisa si había acuerdos con proveedores, subcontratistas o plataformas que intervenían en el tratamiento. Un proveedor negligente puede ser responsable subsidiario. Por último, mira las copias de seguridad: si puedes demostrar que la filtración no provino de tus descuidos, el reclamo frente a clientes, autoridades o aseguradoras cambia por completo.

Cómo se soluciona

1. Asegura la evidencia técnica. Exporta logs, respaldos y copias forenses del servidor o dispositivo afectado. No borres nada. Si no sabes cómo, documenta paso a paso lo que haces para no alterar huellas.

1. Identifica el alcance. Haz un inventario claro de los datos que quedaron expuestos: nombres, correos, contraseñas, información fiscal, números de tarjeta o datos sensibles. Clasifícalos por gravedad.

1. Contención técnica. Cambia credenciales comprometidas, bloquea accesos, aplica parches y, si procede, desconecta sistemas afectados para evitar nuevas extracciones. Implementa medidas como doble factor de autenticación y revisa permisos de usuarios.

1. Notificación a titulares y autoridades. Dependiendo del tipo de datos y del alcance, deberás comunicar a las personas afectadas y, en casos de datos sensibles, a la autoridad de protección de datos correspondiente. Prepara un comunicado claro que explique qué ocurrió, qué datos se vieron afectados y qué medidas ofreces.

1. Revisa contratos y pólizas. Consulta contratos con proveedores y pólizas de ciberseguros para activar coberturas o imponer responsabilidades por incumplimiento de medidas. Recopila facturas y comunicaciones que demuestren tus obligaciones contractuales.

1. Considera la vía penal y civil. Si la filtración se debió a un ataque externo, abre una carpeta de investigación ante la fiscalía especializada en delitos informáticos y aporta la evidencia técnica. Si la filtración fue por culpa de un tercero en tu cadena, valora reclamar daños y perjuicios por la vía civil.

1. Comunicación con clientes. Redacta un aviso práctico para los afectados: qué datos se filtraron, recomendaciones de seguridad y canales de contacto para aclaraciones. Evita declaraciones que admitan negligencia sin evaluar legalmente la situación.

1. Auditoría y mejora. Encarga una auditoría de seguridad para cerrar brechas y documentar las acciones correctivas; eso reduce riesgos futuros y sirve como prueba de diligencia.

En lo que puedes hacer solo: reunir y guardar correos, contratos, facturas, screenshots, y realizar copias de seguridad. Para copias forenses y para la interlocución con la fiscalía o con la autoridad de protección de datos, suele hacer falta un especialista técnico y un abogado.

Qué puede pasar

1) Se arregla con comunicación y medidas. En muchos casos la situación se resuelve dando información, ofreciendo herramientas de protección (por ejemplo, monitoreo de identidad) y adoptando medidas técnicas. Si los clientes aceptan la reparación, el conflicto puede cerrarse sin juicio.

2) Conciliación o acuerdo. Puede haber una negociación con los titulares o un procedimiento administrativo con la autoridad de protección de datos que termine en una sanción o una reparación equivalente. Un acuerdo puede ser práctico: cierra el conflicto más rápido y evita costes judiciales.

3) Juicio o investigación penal. Si hay indicios de delito informático, se abrirá una carpeta de investigación. Si demandas por daños y perjuicios, habrá proceso civil donde se discutirán pruebas técnicas y peritajes. Si pierdes, podrías afrontar sanciones administrativas o responsabilidades frente a terceros; si ganas, cobrar puede depender de la solvencia del responsable.

Una sentencia favorable no garantiza el cobro si el responsable carece de bienes o no tiene póliza que lo respalde.

Errores que arruinan el caso

• Borrar o sobrescribir logs y respaldos antes de hacer una copia forense. Eso destruye la principal prueba técnica.
• No documentar quién tuvo acceso a qué y cuándo. Sin esa cadena, es difícil atribuir la filtración.
• Enviar comunicaciones públicas que admitan negligencia sin consultar a un abogado.
• Confiar únicamente en el proveedor sin revisar cláusulas contractuales que limiten responsabilidades.
• No separar la investigación técnica de la operativa diaria: seguir usando el servidor afectado puede empeorar la huella.