Te han hackeado y han filtrado datos personales: ¿qué puedes hacer ahora?

¿Tienes razón?

Tu derecho a reclamar dependerá de tres cuestiones principales. Primero, la naturaleza de los datos filtrados: información especialmente protegida (salud, ideología, orientación sexual, etc.) tiene mayor protección y genera mayor deber de respuesta por parte del responsable. Segundo, la calidad del tratamiento: si un tercero responsable (empresa, entidad pública) no aplicó medidas de seguridad adecuadas, su responsabilidad es más clara. Tercero, la prueba de la filtración y del daño: capturas, enlaces de la publicación, notificaciones de terceros y correspondencia con la entidad responsable son esenciales.

No cualquier publicación en internet implica que el responsable sea automáticamente culpable; hay que demostrar que la filtración provino de su negligencia o falta de medidas técnicas adecuadas. Si fuiste tú quien compartió datos sin querer, la situación cambia.

Cómo se soluciona

1) Preservar pruebas. Guarda capturas con URL, fecha y hora, exporta archivos, y, en la medida de lo posible, solicita certificación de la página que muestra la filtración. Documenta cualquier mensaje amenazante o solicitud de rescate.

2) Contactar al responsable del fichero. Solicita por escrito una explicación sobre cómo se produjo la filtración, qué datos se han visto afectados y qué medidas han tomado para contenerla. Pide también la identificación del incidente y copia de los informes técnicos.

3) Evaluar riesgo y medidas personales. Cambia contraseñas, activa autenticación en dos factores, informa a bancos o entidades si aparecen números de cuenta, y considera medidas de protección de identidad y bloqueo de tarjetas si procede.

4) Notificar a la autoridad de protección de datos y a los afectados. Si la filtración implica riesgo para los derechos y libertades de las personas, la normativa de protección de datos impone obligaciones de notificación. Junta la documentación técnica y la comunicación del responsable para fundamentar la reclamación.

5) Denuncia penal si hay comportamiento delictivo. Publicar datos personales con ánimo de extorsión o vulneración grave puede constituir delito. Acompaña la denuncia con pruebas y, si existen, comunicaciones del autor.

6) Requerir medidas de reparación. Puedes exigir que el responsable adopte medidas correctoras, información a los afectados, y en su caso, compensación por daños. Un abogado puede solicitar medidas cautelares para limitar la difusión y obtener información adicional de la plataforma donde se ha divulgado.

Qué puedes hacer solo: cambiar credenciales, guardar capturas y pedir explicaciones al responsable. Qué necesita un abogado: coordinar notificaciones a la autoridad, preparar reclamaciones administrativas, solicitar medidas judiciales para identificar autores y reclamar indemnización.

Qué puede pasar

1) Solución directa y mitigación. El responsable puede acreditar que contuvo la fuga, retirar el contenido y ofrecer medidas de protección, lo que suele cerrar el conflicto para muchos afectados.

2) Procedimiento administrativo ante la autoridad de protección de datos. La autoridad puede investigar, imponer medidas correctoras y sanciones administrativas. Un acuerdo administrativo puede incluir medidas de reparación y obligaciones de seguridad.

3) Vía penal o civil. Si hay delito (extorsión, divulgación intencionada de datos sensibles) la jurisdicción penal puede actuar. En la vía civil puedes reclamar daños y solicitar medidas para retirar y bloquear la difusión. Si la parte responsable es insolvente, una sentencia puede quedar como reconocimiento teórico pero de difícil ejecución.

Y si ganas, ¿cobras? La efectividad de una condena o resolución administrativa depende de la situación patrimonial del responsable; por eso es importante valorar alternativas de reparación y medidas no económicas.

Errores que arruinan el caso

• No guardar pruebas o permitir que se borre la publicación: dificulta identificar al autor y acreditar alcance.
• Esperar a que la empresa actúe sin requerirlo por escrito y fehaciente: se pierde constancia de la solicitud.
• Compartir públicamente detalles sensibles para denunciar: eso agrava la difusión y perjudica la reclamación.
• No cambiar credenciales ni notificar a entidades financieras: facilita fraude posterior.
• No consultar peritaje técnico cuando la prueba depende de registros y servidores ubicados en entornos complejos.