Si pierdes un portátil con información personal de clientes

¿Tienes razón?

Tu posición y el tratamiento que debes seguir dependen de tres factores: el tipo de datos que había, las medidas de seguridad implementadas y las posibilidades de recuperación o borrado remoto.

1) Tipo de datos. Si el portátil contenía solo nombres y correos, el riesgo es distinto que si contenía números de identificación, datos bancarios o historiales de salud. Los datos sensibles agravan las obligaciones y la percepción de daño.

2) Medidas de seguridad. Un equipo con disco cifrado, acceso con contraseña fuerte y autenticación adicional reduce mucho el riesgo práctico. Si el equipo estaba sin cifrar y sin contraseña, la exposición es alta.

3) Recuperación o control remoto. Si tienes herramientas de gestión (MDM, remote wipe) que permiten bloquear o borrar el dispositivo, tu posición es más defensible. Si no, la probabilidad de que los datos sean accesibles es mayor.

Con esos tres elementos tendrás el mapa de riesgo. Documenta inmediatamente lo que sabes: cuándo se perdió, qué contiene y qué acciones tomaste. Esa documentación es esencial si debes notificar a la autoridad o a los titulares.

Cómo se soluciona

1) Contención inmediata:

• Cambia contraseñas y revoca accesos asociados (cuentas corporativas, correos, VPN).
• Si tienes software de administración de dispositivos, intenta bloquear o borrar el equipo de forma remota y registra las órdenes y sus resultados.
• Desactiva certificados y tokens almacenados en el equipo cuando sea posible.

2) Inventario y evaluación:

• Haz una lista detallada de los tipos de datos presentes: identifica titulares afectados y clasifica por sensibilidad.
• Identifica si la información está cifrada y si las claves estaban o no en el equipo.

3) Comunicación interna:

• Informa al responsable de seguridad y al área legal. Activa el protocolo interno de incidentes con responsables claros y registro de acciones.

4) Notificación a terceros:

• Valora qué titulares deben ser informados y qué información necesitan: qué pasó, qué datos pudieron verse afectados y qué medidas ofreces para mitigar el daño.
• Prepara un mensaje claro y práctico: evitar alarmar innecesariamente pero dar instrucciones concretas para protegerse (cambiar contraseñas, estar atento a comunicaciones fraudulentas).

5) Reporte a la autoridad de protección de datos:

• Evalúa si el incidente constituye una violación de datos personales de carácter relevante. Si es así, prepara el reporte con la documentación de la evaluación y las medidas tomadas.

6) Medidas posteriores y registro:

• Implementa mejoras: cifrado de discos, MDM, políticas de acceso mínimo, formación a la persona responsable.
• Conserva todo el registro de incidentes y decisiones: quién hizo qué y cuándo.

Qué puedes hacer tú y qué necesita un profesional:

• Tú puedes: cambiar contraseñas, intentar el remote wipe si tienes acceso, reunir la información básica y notificar internamente.
• Necesitas abogado cuando hay datos sensibles afectados, cuando hay reclamaciones de titulares, o si la autoridad inicia un procedimiento. Un abogado te ayuda a redactar notificaciones, evaluar obligaciones y gestionar riesgos legales.

Qué puede pasar

1) Se arregla con comunicaciones y mitigación. En muchos incidentes el remedio inmediato (bloqueo de cuentas, cifrado y comunicación transparente) convence a los titulares y evita acciones más graves.

2) Acuerdo o conciliación. Si titulares reclamaran daños, puedes llegar a soluciones negociadas: servicios de monitoreo de identidad, compromiso de mejorar medidas, o acuerdos indemnizatorios en casos concretos. Un acuerdo puede evitar un procedimiento largo.

3) Procedimiento administrativo o demanda. Si la autoridad considera que hubo incumplimiento grave de las medidas de seguridad, puede imponer sanciones administrativas. En vía civil, titulares podrían reclamar por daños si demuestran perjuicio. Si pierdes, además de multas podrías sufrir daño reputacional y costes de remediación.

Y si ganas, ¿cobras? En un incidente es raro que la empresa «cobre» algo; la ganancia real es limitar el daño y demostrar cumplimiento técnico y documental para evitar sanciones.

Errores que arruinan el caso

• No documentar las acciones desde el primer minuto: sin registro, tu relato pierde credibilidad.
• Intentar recuperar o manipular el equipo por cuenta propia y, en el proceso, destruir pruebas.
• No informar internamente a quien gestiona seguridad o legal.
• Minimizar el incidente por temor a la reputación; la falta de transparencia puede agravar sanciones.
• Mantener políticas laxas de acceso y no cifrar discos en equipos con información sensible.