Un ex trabajador accedió a mi base de datos y la usó

¿Tienes razón?

Tres cosas determinan si tienes una base sólida para reclamar: quién tenía autorización, qué tipo de datos fueron accedidos y qué medidas de seguridad existían. Si el empleado ya no tenía autorización y sustrajo o usó datos personales fuera de sus funciones, tu caso es fuerte. Si el acceso ocurrió dentro de sus funciones, pero el uso fue distinto (por ejemplo, para crear competencia o enviar listas a terceros), también puede ser responsable. Si la información involucrada es sensible —por ejemplo, datos de salud, financieros o que pueden identificar a personas vulnerables— la gravedad aumenta.

También importa cómo pruebes lo ocurrido. Los registros de acceso del sistema, copias de seguridad, correos electrónicos, exportaciones de archivos y conversaciones de mensajería interna son la base. La existencia o no de políticas internas y procedimientos de desvinculación (revocación de accesos, recuperación de dispositivos, entrega de contraseñas) influye en la responsabilidad de la empresa por negligencia en seguridad.

Finalmente, el daño que se haya causado: si los datos fueron vendidos, publicados o usados para extorsión, el reclamo tiene más puntos de peso. Si sólo hubo copia sin uso conocido, el remedio suele mezclarse entre medidas técnicas y compensación por riesgo y daño reputacional.

Cómo se soluciona

1. Conserva evidencia y aísla el acceso. Exporta los registros de acceso del sistema, copia las bitácoras del servidor, guarda mensajes, correos y cualquier archivo que pruebe la transferencia o el uso. Toma capturas y descárgalas a un disco externo.

1. Revoca accesos y recupera credenciales. Cambia contraseñas, desactiva cuentas vinculadas y recupera dispositivos que el extrabajador haya usado para el trabajo. Si él se negó a entregar equipos, haz un inventario documentado y exige la devolución por escrito.

1. Evalúa el alcance técnico. Haz un inventario de los datos comprometidos: nombres, correos, números telefónicos, documentos de identidad, historiales financieros o médicos. Si tu empresa no tiene capacidad, contrata un especialista en seguridad informática para determinar si hubo copia o exfiltración.

1. Notifica a las personas afectadas cuando corresponda. La normativa de privacidad exige, según el riesgo, informar a los titulares. Redacta un comunicado claro que explique qué pasó, qué datos fueron afectados y qué medidas tomas para mitigar el daño.

1. Reclama internamente y/o ante la autoridad competente. Presenta una denuncia interna y conserva acuse de recibo. Si la vía administrativa es adecuada, interpón la queja ante la autoridad de protección de datos correspondiente, aportando la evidencia técnica y documental.

1. Evalúa acción civil o penal. Si hubo daños patrimoniales, uso para competencia desleal o delitos (por ejemplo, acceso indebido a sistemas, revelación de secretos, extorsión), considera una demanda o denuncia penal. Aquí necesitas abogado para cuantificar los daños y articular las medidas cautelares.

1. Implementa medidas de remediación. Revisa y actualiza políticas de seguridad, minimiza accesos, aplica autenticación fuerte y documenta el proceso de desvinculación del personal para que no vuelva a pasar.

En lo que puedes hacer solo: exportar y guardar registros, cambiar contraseñas y notificar a los afectados. Cuando la situación implica delitos, pérdida patrimonial, o una oferta de compra del material por terceros, conviene contratar a un abogado y/o perito informático.

Qué puede pasar

1) Se arregla con una carta y medidas técnicas. Muchas veces la resolución pasa por la devolución de la información, la firma de un compromiso de no uso y la implementación de medidas técnicas. Esto suele ser la opción más rápida y práctica para mitigar daño reputacional.

2) Acuerdo o conciliación. Puedes llegar a un acuerdo económico y de remediación mediante conciliación extrajudicial o un proceso civil. Un acuerdo con cláusulas claras de confidencialidad y verificación de la destrucción de copias puede ser preferible a litigios largos. A veces el extrabajador acepta pagar una suma menor a cambio de evitar juicio; esto puede ser razonable si el cobro efectivo de una sentencia es incierto.

3) Juicio o denuncia penal. Si decides litigar y obtienes una sentencia a tu favor, puedes obtener reparación y medidas para obligar a la devolución o destrucción de datos. Pero si la persona es insolvente o los datos ya se han difundido, la ejecución de la sentencia puede resultar difícil. En procesos penales, la investigación puede obligar a la entrega de dispositivos y trazas, pero la investigación puede tardar y no garantiza reparación económica rápida.

¿Y si ganas, cobras? La sentencia facilita el cobro, pero si el demandado no tiene bienes, la sentencia será un derecho reconocido difícil de ejecutar. Por eso en muchos casos un buen acuerdo, con garantías reales (por ejemplo, entrega de equipos o avales), funciona mejor.

Errores que arruinan el caso

• Borrar evidencia: formatear discos, limpiar historiales o sobreescribir registros sin preservar copias rompe la prueba.
• No documentar la revocación de accesos: si no hay constancia de que se revocaron cuentas o se entregaron equipos, cuesta probar la negligencia.
• Hablar públicamente sin estrategia: señalar a terceros en redes o enviar comunicados agresivos puede dificultar acuerdos y generar reclamaciones contrarias.
• No separar la investigación técnica de la gestión del personal: mezclar respuestas puede eliminar pruebas clave.
• Aceptar acuerdos verbales sin documento: si se llega a un trato, debe constar por escrito y con pruebas de cumplimiento.