Si hubo acceso no autorizado a datos personales, puede que exista la obligación de notificar al INAI y a las personas afectadas; la obligación depende del tipo de datos comprometidos, la probabilidad de riesgo para los titulares y las medidas técnicas que ya tenía la empresa. El primer paso es contener la brecha, conservar evidencia técnica y hacer un inventario claro de los datos afectados para poder decidir si la notificación es necesaria.
Cuéntanoslo y te lo analizamos gratis en un minuto: qué opciones tienes, qué urge y qué contarle al abogado.
Analizar mi caso gratis Sin compromiso · Gratis
Que haya ocurrido una brecha no significa automáticamente que debas notificar al INAI. Lo que determina la obligación son, principalmente, tres cosas: el tipo de datos afectados (datos sensibles versus datos de contacto), la extensión de la afectación (cuántas personas y qué campos), y el riesgo real de daño para los titulares (por ejemplo, riesgo de robo de identidad, fraude o daño a la reputación). También importa si tus medidas de seguridad eran razonables y si la información quedó cifrada o inutilizable. Si la información es apenas un listado con correos genéricos y ya estaba cifrada, la obligación puede ser distinta a la de una filtración con números de tarjeta o datos sensibles.
Evalúa estos puntos en orden: primero asegure la operación técnica para detener la fuga; luego identifique qué se perdió; finalmente valore la probabilidad de afectación material a las personas. Esa valoración es la que suele inclinar la balanza sobre notificar o no.
Qué puedes hacer por tu cuenta: aislar sistemas, exportar logs, y preparar una primera comunicación interna. Cuándo traer ayuda externa: para el peritaje forense, la redacción de la notificación y la gestión de comunicaciones públicas, o si ya hay reclamaciones de terceros.
1) Se resuelve internamente con notificación y medidas: la salida más frecuente es contener la brecha, notificar al INAI si corresponde, y notificar a los titulares con recomendaciones (cambio de contraseñas, vigilancia de cuentas). Esto puede limitar el daño reputacional y evitar sanciones si se demuestra diligencia.
2) Acuerdo o conciliación administrativa: el INAI puede abrir investigación administrativa. Si la empresa coopera y demuestra medidas de mitigación y remediación, lo habitual es que el procedimiento desemboque en medidas de cumplimiento y multas administrativas o recomendaciones. En ocasiones es posible negociar medidas correctivas que eviten sanciones severas, especialmente si se corrigen las fallas.
3) Procedimiento sancionador y consecuencias judiciales: si hubo negligencia grave o falta de medidas mínimas, puede iniciarse un procedimiento que culmine en sanciones administrativas y, en casos de daño patrimonial, reclamaciones civiles por daños. Si la empresa pierde el procedimiento, la ejecución contra una empresa insolvente puede limitar la satisfacción de las reclamaciones; por eso la gestión prudente del incidente y la documentación son capitales.
Y si ganas, ¿cobras? Si finalmente logras demostrar que la compañía actuó conforme a la ley y no hubo daño, no habrá responsabilidad pecuniaria. Pero una sentencia favorable no garantiza recuperación de reputación ni elimina el coste de la gestión técnica y comunicacional.
En muchos incidentes la primera fase técnica la puede manejar tu CTO o proveedor. Sin embargo, cuando hay posibilidad de sanción administrativa, reclamaciones de terceros o necesidad de comunicar al INAI, conviene asesoría jurídica para preparar la notificación, redactar comunicados y gestionar el expediente. Si la otra parte ya reclama o el INAI inicia actuaciones, busca abogado; podrías calificar para representación gratuita según tus recursos.
Otros problemas frecuentes en startups
No todas las fugas obligan a notificar. La obligación depende del tipo de datos comprometidos y del riesgo que esa exposición implique para los titulares. Si la información permite suplantación, fraude o daño a la reputación, la obligación se vuelve más probable.
Sí, sirve, pero debe ser detallado y técnico: logs, timestamps, alcance y medidas tomadas. Un informe genérico no es suficiente; pide documentación que permita reproducir el incidente y que esté firmada por personal técnico responsable.
Depende del número y del riesgo. La notificación debe ser clara, comprensible y contener recomendaciones prácticas. Si hay muchos afectados, puede requerirse un plan de comunicación masiva con atención personalizada para casos de alto riesgo.
Eliminar datos no siempre soluciona: hay copias, respaldos y registros en sistemas externos. Además, borrar información sin documentarlo puede empeorar la posición frente a autoridades. Lo correcto es preservar evidencia y proceder con mitigación y depuración controlada.
La autoridad valora si la empresa contaba con medidas razonables de seguridad acorde al riesgo. La ausencia de medidas básicas (cifrado, control de accesos, respaldos) agrava la situación en una investigación administrativa.
Te conectamos con los mejores abogados especializados. Consulta gratuita y sin compromiso.
