Me filtraron datos personales de mi empresa

¿Tienes razón?

Tres factores determinan la gravedad y el camino a seguir tras una filtración de datos:

1. Tipo de datos comprometidos. Un volcado que contiene nombres y correos genera riesgos distintos a uno que incluye datos de salud, financieros o identificadores únicos. Los datos sensibles aumentan la obligación de mitigación.

1. Alcance: cuántas personas se han visto afectadas y si los datos ya están públicos o circulan en entornos cerrados. Una fuga pequeña y contenida no es igual que un archivo difundido públicamente.

1. Evidencia técnica y origen. Saber si la fuga fue por un error interno, acceso no autorizado o un tercero que comprometió proveedores cambia la estrategia legal y técnica. Documentar logs, accesos y versiones es esencial.

Si tienes datos sensibles, amplio alcance o pruebas de acceso no autorizado, la situación requiere intervención técnica y legal coordinada. Si la fuga es limitada y contiene pocos datos no sensibles, la contención técnica y la comunicación directa pueden ser suficientes.

Cómo se soluciona

1. Contención inmediata.

• Corta el acceso comprometido: desactiva cuentas, aísla servidores, cambia credenciales y cierra vectores explotados.
• Conserva evidencia: copia forense de sistemas, logs, correos y cualquier archivo que muestre la intrusión. No sobreescribas discos; documenta quién tuvo acceso a los sistemas.

1. Evaluación técnica rápida.

• Identifica qué datos fueron exfiltrados y la magnitud. Ordena la información por niveles de sensibilidad y por grupos de titulares afectados.
• Comprueba si el dato está disponible públicamente o se distribuye en foros.

1. Notificación interna y creación de un equipo de respuesta.

• Forma un equipo con TI, legal, comunicaciones y dirección. Define quién comunica a titulares y medios.

1. Gestión de titulares afectados.

• Prepara mensajes claros: qué ocurrió, qué datos están involucrados, medidas adoptadas y opciones para que las personas se protejan. Ofrece canales de contacto dedicados.

1. Revisar contratos con proveedores.

• Si la fuga ha sido a través de un tercero, revisa sus obligaciones contractuales y cláusulas de encargo. Exige información y acciones correctivas.

1. Evaluación de impacto y medidas remediales.

• Realiza una evaluación de riesgo y establece medidas técnicas y organizativas correctoras: cifrado, control de accesos, autenticación fuerte, parches.

1. Documentación y decisiones sobre la notificación a la autoridad.

• Registra cronograma de acciones y la base técnica de decisiones. Consulta con tu abogado si la naturaleza de datos y el riesgo requieren notificar a la autoridad competente.

1. Plan de recuperación y comunicación pública.

• Actualiza políticas, realiza formación, y publica informes si corresponde para restaurar confianza.

Qué puedes hacer tú y qué necesita profesional

• Tú solo: contener vectores básicos (cambiar contraseñas, desactivar cuentas), identificar archivos divulgados y preparar comunicaciones iniciales.
• Necesitas profesional: análisis forense, negociación con proveedores, preparar la defensa frente a la autoridad o demandas de afectados, y diseñar medidas técnicas avanzadas si hubo acceso sofisticado.

Qué puede pasar

1) Se arregla con contención y comunicación. Muchas filtraciones se remiten mediante acciones técnicas y comunicación transparente: se corrigen vulnerabilidades y se ofrece apoyo a afectados (por ejemplo, canales de atención). Esto suele restaurar operaciones sin procedimientos administrativos.

2) Acuerdo o procedimiento administrativo. Si hay defectos organizativos o incumplimientos contractuales, puede iniciarse un procedimiento que termine en medidas correctivas. Negociar con afectados o con la autoridad puede resultar en un acuerdo operativo para implementar controles adicionales.

3) Sanción o responsabilidad civil. Si la investigación demuestra negligencia grave en medidas de seguridad o incumplimiento sistemático, la empresa puede enfrentar sanciones administrativas y reclamaciones civiles por daños. Si la empresa pierde y es insolvente, la reparación a titulares puede ser limitada en la práctica.

Y si ganas, ¿cobras? Una resolución favorable puede exonerar sanciones, pero no siempre garantiza que los titulares renuncien a acciones civiles; la capacidad de cobro dependerá de la solvencia del responsable.

Errores que arruinan el caso

• Borrar logs o pruebas antes de una copia forense. Esto destruye la posibilidad de identificar el origen.
• Minimizar públicamente el incidente sin investigar; las contradicciones dañan la credibilidad.
• No revisar contratos con proveedores ni exigir responsabilidades por acceso externo.
• Demorar la contención técnica por burocracia interna.
• No documentar las decisiones tomadas: sin registro, justificar medidas ante la autoridad es imposible.