Si pierdes un portátil con información personal de clientes

¿Tienes razón?

La respuesta depende de tres cuestiones: qué tipo de datos contenía el portátil, qué medidas de seguridad tenía y si hay indicios de acceso no autorizado. Si el portátil solo tenía datos no sensibles y estaba cifrado, tu posición es más sólida. Si contenía datos de salud, financieros o identificadores y no estaba protegido, el riesgo para los derechos de las personas es mayor. También importa si el dispositivo pertenece a la empresa o al trabajador y si había copias en la nube sincronizadas sin control.

Documenta lo ocurrido: quién fue el último en usar el portátil, cuándo se perdió, qué aplicaciones estaban activas y si existía acceso remoto. Ese expediente será la base para cualquier comunicación y para tomas de decisión sobre notificación a las personas afectadas y a la autoridad de control.

Cómo se soluciona

1. Contención inmediata. Desactiva cuentas conectadas al portátil (cuentas corporativas, correo, acceso VPN) y cambia contraseñas críticas. Si la empresa dispone de una solución de gestión de dispositivos, iniciad el borrado remoto y el bloqueo del equipo. Si eres la persona afectada, informa a la persona responsable de seguridad de datos.

1. Inventario de datos. Anota qué ficheros y bases de datos estaban en el equipo: listados de clientes, facturas, datos bancarios, historiales de comunicación, fotografías. Prioriza según sensibilidad: datos de salud y financieros requieren atención máxima.

1. Valoración de riesgos. Decide si la pérdida supone un riesgo para los derechos y libertades de las personas. Ten en cuenta la posibilidad de suplantación de identidad, fraude o daños reputacionales. Documenta el análisis con evidencia (logs, correos, declaraciones).

1. Notificación a la autoridad y a los afectados. Si el riesgo es significativo, prepara una comunicación para la autoridad de control y, cuando proceda, comunicaciones individuales a las personas afectadas con recomendaciones prácticas (cambiar contraseñas, vigilar movimientos bancarios). Si el riesgo es bajo, documenta la decisión de no notificar y guarda evidencia.

1. Medidas correctoras. Revisa y refuerza medidas: cifrado obligatorio de discos, control de acceso, políticas de respaldo, formación al personal y uso de gestión de dispositivos móviles. Cambia procedimientos de trabajo remoto si hubo un fallo de prácticas.

1. Registro del incidente. Mantén un registro interno con la cronología, acciones tomadas y decisiones. Ese registro es clave para demostrar diligencia en caso de inspección.

Qué puedes hacer sin abogado: reunir evidencia, realizar contención técnica básica y comunicaciones prácticas con clientes. Cuándo llamar a un abogado: si hay indicios de acceso no autorizado, si la AEPD inicia actuaciones, si los afectados anuncian acciones judiciales o si hay responsabilidad penal o contractual en juego.

Qué puede pasar

1) Se arregla con comunicación y medidas correctoras. Muchos incidentes se solventan informando a los afectados cuando hay riesgo y mostrando que se han tomado medidas técnicas y organizativas para evitar repeticiones.

2) Acuerdo o medidas administrativas. La autoridad de control podría requerir documentación y ordenar medidas correctoras. En caso de reclamaciones, a veces se alcanza un acuerdo extrajudicial que incluye acciones de mitigación.

3) Sanción y procedimiento judicial. Si la pérdida se explica por falta de medidas básicas de seguridad, la autoridad puede imponer sanciones. En vía civil, los afectados pueden reclamar indemnizaciones si prueban daño. Si la empresa pierde, podría cargar con costes de remediación y posibles indemnizaciones; si el responsable es insolvente, la ejecución puede ser difícil.

Y si ganas, ¿cobras? Una sentencia favorable no garantiza recuperación si el responsable carece de recursos; en muchos casos la reparación práctica es limitar el daño y mejorar seguridad.

Errores que arruinan el caso

• No documentar la cronología desde el primer minuto. Sin registro, tu defensa pierde credibilidad.
• Intentar arreglarlo por las buenas borrando evidencias o formateando el equipo sin preservar logs.
• Subestimar datos sincronizados en la nube: la copia remota puede ser la verdadera fuente de exposición.
• No cambiar contraseñas y credenciales vinculadas al portátil.
• No aplicar cifrado en dispositivos con datos personales.