Robo de base de datos y cartera de clientes

¿Tienes razón?

Tu posición depende de cuatro factores: qué datos incluye la base (nombres, contactos, historiales comerciales), cómo se obtuvo y si esos datos son confidenciales o solo públicos; las medidas de protección que tu empresa aplicó; la existencia de contratos o cláusulas que prohíban su uso por terceros; y la conducta del presunto responsable (transferencia a competidor, uso activo para captar clientes, etc.). Si la base contiene listados propietarios confeccionados internamente, con compilación, segmentación y perfiles comerciales, suele tratarse de un activo protegido. Si los datos son meramente públicos (páginas amarillas, redes sociales), la protección es menor. Importa también quién tuvo acceso: empleados, proveedores o externos, y si firmaron acuerdos de confidencialidad o de no competencia. Por último, la existencia de trazas de uso —correos, llamadas de ventas desde otra empresa hacia tus clientes, campañas publicitarias dirigidas— aumenta la probabilidad de que la apropiación se esté explotando comercialmente.

Cómo se soluciona

1. Contención técnica y administrativa: corta accesos a CRM, cambia credenciales administrativas, solicita a proveedores de servicios copias de logs y suspende cuentas comprometidas. Identifica qué empleados tenían acceso y separa su acceso mientras investigas.

1. Recolección de evidencia: exporta logs de acceso, versiones de bases de datos, backups, correos y contratos con proveedores. Guarda metadatos, direcciones IP y cualquier traslado de archivos. Si hay transferencias a servicios externos, pide los registros al proveedor.

1. Comunicación formal: envía una notificación fehaciente al empleado, proveedor o empresa presunta responsable reclamando la devolución y la cesación del uso. Pide constancia de recepción y conserva copia.

1. Medidas para clientes: comunica al cliente afectado un mensaje controlado si procede y adecuado, cuidando la reputación y la protección de datos. Ofrece verificación y, si aplica, medidas de remediación si hubo exposición de datos sensibles.

1. Negociación o conciliación: si la otra parte reconoce la toma, negocia la devolución, la certificación de destrucción y medidas de no competencia o no captación. Un acuerdo con controles de cumplimiento puede ser la solución más práctica.

1. Acciones legales: si no hay acuerdo, prepara demanda civil/mercantil por daño patrimonial y, cuando la conducta encaje, considera denuncia por delitos informáticos o por competencia desleal ante las autoridades correspondientes. La vía administrativa de protección de datos personales puede aplicarse si hubo vulneración de la normativa de datos.

Qué puede pasar

1. Se arregla con una carta y devolución: muchas situaciones se solucionan cuando el autor reconoce la toma y devuelve los archivos, acompañado de una declaración de no uso y destrucción. Esto restablece el control y evita un proceso largo.

1. Acuerdo o conciliación: se puede pactar una indemnización, condiciones de no captación y auditorías para verificar cumplimiento. Un acuerdo permite liquidar la controversia de forma rápida y con menos exposición.

1. Juicio y sanciones administrativas o penales: si no hay acuerdo, puedes reclamar en vía civil para obtener reparación y medidas de cese, o acudir a la autoridad si existe delito. En cualquier caso, una sentencia favorable no garantiza cobro si la parte demandada carece de bienes embargables. Además, si la autoridad determina vulneración de datos personales, pueden aplicarse sanciones administrativas.

Y si ganas, ¿cobras? La ejecución depende de la existencia de activos y de la eficacia de las medidas cautelares que se hayan logrado en el proceso. Una sentencia es el reconocimiento del derecho, pero su materialización exige localizar bienes o pactar formas de pago.

Errores que arruinan el caso

• No preservar backups y logs: perder registros de acceso diluye la prueba clave sobre cómo y cuándo se obtuvo la base.
• Autorizar accesos sin controles: permisos excesivos sin registro complican atribuir la filtración.
• Contactar a los clientes con comunicaciones amplias y no controladas: puede empeorar la percepción y dar pie a demandas adicionales.
• No poner por escrito la separación de empleados sospechosos: la actuación informal complica la prueba disciplinaria o legal.
• Ignorar la normativa de protección de datos al manejar la investigación: tratar datos personales sin controles puede generar responsabilidad administrativa.