Cómo reclamar por una brecha de seguridad que ha afectado mis datos personales

¿Tienes razón?

Determinar si puedes reclamar depende de tres hechos clave.

1) Qué datos se vieron afectados. No es lo mismo que se filtre un correo electrónico que una clave bancaria, datos de salud o documentos de identidad. Cuanto más sensibles sean, más grave es la obligación de la empresa.

2) La actuación de la entidad tras el incidente. La ley de protección de datos —y las buenas prácticas— exigen notificar a los afectados, explicar alcance y medidas de mitigación. Si la empresa no te informó o la comunicación fue vaga y tardía, tienes base para reclamar.

3) Si hubo negligencia demostrable en medidas de seguridad. ¿La empresa dejó sistemas sin actualizar, contraseñas por defecto, acceso sin control? La existencia de controles mínimos incumplidos refuerza tu reclamación. Si la exposición fue por un ataque sofisticado y la empresa aplicó medidas razonables, argumentar daños será más difícil.

Si los tres puntos están presentes (datos sensibles + mala respuesta + negligencia), tu posición para reclamar es sólida. Si la data filtrada es poca y la empresa reaccionó con medidas adecuadas, puede que lo práctico sea tomar medidas para protegerte y no litigar.

Cómo se soluciona

1) Documenta todo (puedes hacerlo tú):

• Guarda notificaciones, correos, pantallazos de comunicados y cualquier mensaje de la compañía que confirme la brecha.
• Si ves tus datos publicados en internet, guarda URL completas, capturas con fecha y copia de pantalla que muestre hora y contenido.
• Conserva registros de daños: intentos de fraude, cargos no autorizados, llamadas o mensajes de phishing que relaciones con la brecha.

2) Exige información por escrito a la entidad responsable (tú primero):

• Pide que te informen qué datos se filtraron, cuándo ocurrió, qué medidas tomaron, y qué acciones recomiendan para mitigar el daño.
• Solicita constancia de las medidas de seguridad que tenían antes del incidente y las medidas de corrección adoptadas.

3) Reclama ante la autoridad y organizaciones (puede requerir apoyo legal):

• Presenta una queja ante la autoridad competente en protección de datos o el organismo que reúna estas funciones en Perú. Describe el incidente y adjunta pruebas.
• Denuncia a INDECOPI si el incidente proviene de una práctica comercial negligente o afecta derechos como consumidor.

4) Evaluar acción civil por daños (requiere abogado):

• Si sufres un perjuicio cuantificable (pérdidas económicas, suplantación, daño moral significativo) puedes reclamar reparación civil ante un juez. Será necesario valorar la prueba técnica que vincule la brecha con el daño.
• En casos laborales, si la empresa de tu chamba expone datos de planilla sin medidas, la vía puede cruzar con derecho laboral.

5) Medidas prácticas de protección inmediata (lo haces ya):

• Cambia contraseñas, activa autenticación de dos factores, informa a bancos y bloquea tarjetas si hay riesgo. Considera alertas de fraude y monitoreo de identidad.

Qué puede pasar

1) Se arregla con una actuación de la empresa. Muchas compañías ofrecen servicios de protección, notifican y corrigen vulnerabilidades. En este escenario recibes información, medidas de reparación (por ejemplo, asistencia para impedir fraude) y no necesitas más.

2) Acuerdo administrativo o conciliación. La autoridad puede imponer medidas correctoras y sanciones, y la empresa puede ofrecer compensaciones o servicios de protección. Aceptar ese acuerdo es frecuente porque agiliza la reparación; a veces compensa más aceptar que litigar por daños futuros.

3) Juicio por daños. Si la afectación te causó perjuicios reales y la entidad fue negligente, puedes demandar. En juicio se discute la cadena de causalidad: probar que la brecha causó el daño es clave. Si pierdes, lo normal es que cada parte asuma sus costos, salvo que el juez imponga costas.

Y si ganas, ¿cobras? Cobrar depende de la solvencia de la empresa. Una sentencia es valiosa, pero si la entidad no tiene bienes en Perú o está en procesos, la ejecución puede ser difícil. Por eso conviene recopilar información sobre quién administra los datos y dónde factura.

Errores que arruinan el caso

• No guardar la comunicación inicial de la empresa que reconoce la brecha.
• Borrar evidencias en internet sin conservar capturas con fecha.
• No informar al banco ni suspender tarjetas cuando hay riesgo de fraude, lo que empeora el daño y complica la relación causal.
• Publicar datos sensibles en redes en busca de apoyo: puedes vulnerar tu propia privacidad y dar armas para contrademandas.
• No pedir peritaje técnico pronto: la información forense sobre origen y alcance tiende a perderse con el tiempo.