Has vendido bases de datos a terceros sin consentimiento: riesgos y remedios

¿Tienes razón?

Tu situación no se evalúa en abstracto: hay cuatro factores clave que determinan si estás en problemas.

• Naturaleza de los datos. Las consecuencias son distintas si vendiste nombres y correos electrónicos que si transmitiste datos sensibles (salud, origen étnico, creencias, datos financieros). Los datos sensibles atraen una mayor protección.
• Consentimiento y el texto del aviso de privacidad. Si los titulares dieron un consentimiento claro y explícito que cubría la cesión o venta a terceros para fines comerciales, tu posición es más fuerte. Si no existe ese consentimiento, o el aviso no mencionó cesión, es probable que la ley te exija responsabilidades.
• Contratos y destinatarios. Si el tercero que compró la base ofreció garantías contractuales (por ejemplo, uso limitado, certificaciones de seguridad) eso pesa en la valoración de daños y en las defensas. Si vendiste sin controles, eres más vulnerable.
• Medidas de seguridad. Qué medidas técnicas y administrativas aplicaste para proteger los datos: cifrado, anonimización, accesos controlados. La autoridad de protección de datos y un juez miran esto con mucha atención.

Si cumples con la ley de protección de datos y tienes registro de consentimientos y avisos de privacidad, puedes no estar incumpliendo. Si no, las sanciones pueden ir desde multas administrativas hasta reparaciones civiles reclamadas por los titulares.

Cómo se soluciona

1. Identifica y conserva la prueba. Busca los archivos vendidos, contratos con el comprador, registros de transferencia (correos, facturas, transferencias bancarias), el aviso de privacidad vigente cuando se obtuvieron los datos, y cualquier consentimiento firmado o aceptado por los titulares. Exporta chats y correos y haz copias verificables; si algo puede borrarse, genera una copia con metadatos.

1. Evalúa el tipo de datos. Clasifica qué información contenía la base: datos de contacto, financieros, sensibles. Eso determina la gravedad y los remedios posibles.

1. Notifica internamente y suspende usos posteriores. Si la base sigue accesible, limita inmediatamente el acceso y la difusión. Mantén registro de las acciones de contención que realices (quién tomó la decisión, cuándo, qué borraste o se aisló).

1. Consulta la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y la autoridad competente (el Instituto). Puedes presentar un aviso o contestar un requerimiento de la autoridad; en cualquier caso, prepara la documentación que justifique tu actuación (consentimientos, contratos, medidas de seguridad).

1. Contacta a los titulares si procede. En algunos casos, ofrecer información y reparación (por ejemplo, rectificación o eliminación) reduce el impacto y puede evitar reclamaciones mayores. Hazlo de forma documentada y con textos claros.

1. Si te piden reparación o hay demanda civil, reúne todos los contratos y demuestra medidas de diligencia. Si la otra parte te ofreció un acuerdo, valora la oferta con un profesional: resolver fuera de juicio suele ser más rápido aunque implique pagar algo.

Qué puedes hacer tú hoy: recuperar copias del aviso de privacidad y consentimientos, recopilar evidencias de la transacción, y auditar qué datos permanecen accesibles. Qué debe hacer un abogado: diseñar la respuesta a la autoridad de datos, negociar con titulares y redactar acuerdos de confidencialidad y remediación.

Qué puede pasar

1) Se arregla con una carta o acuerdo. Es frecuente que empresas o particulares lleguen a acuerdos de corrección: notificar a titulares, eliminar datos y ofrecer medidas compensatorias. Esto evita la intervención pública de la autoridad y reduce costos.

2) Conciliación o acuerdo administrativo. La autoridad de protección de datos puede requerir información y proponer medidas. Un acuerdo con la autoridad puede incluir acciones correctivas y pagos administrativos; la negociación suele centrarse en la proporcionalidad entre el daño y las medidas de seguridad implementadas.

3) Sanción administrativa o demanda civil. La autoridad puede imponer medidas y multas administrativas si detecta incumplimiento de la ley. De forma paralela, titulares afectados pueden demandar reparación de daños. Si el caso llega a juicio y pierdes, la condena puede incluir reparación patrimonial y el pago de costas procesales. Hay otro riesgo práctico: una sentencia contra un deudor insolvente puede quedar en papel si no hay bienes para embargar.

Y si ganas, ¿cobras? Una sentencia favorable solo vale si la parte condenada tiene capacidad de pago o bienes embargables. Un acuerdo extrajudicial suele ser la vía más efectiva para cobrar algo real y rápido.

Errores que arruinan el caso

• Borrar evidencia. Eliminar correos, registros o archivos sin conservar copias con metadatos destruye tu capacidad de defensa y puede agravar la situación.
• No documentar la venta. No tener contrato o factura con el comprador deja tu posición sin soporte.
• Minimizar el tipo de datos. Decir que “solo eran correos” cuando había números de cuenta o datos sensibles reduce tu credibilidad.
• No detener la difusión. Dejar que la base siga circulando hace más probable una sanción mayor.
• Responder sin asesoría técnica o legal. Contestar a la autoridad o a titulares sin pruebas o sin un plan puede empeorar la sanción.