Un empleado ha vendido datos personales: pasos urgentes que debes tomar

¿Tienes razón?

Determinar si la venta de datos por un empleado es cierta depende de cuatro factores: pruebas de acceso y extracción, destino de los datos (quién los compró), contenido exacto de los datos y el régimen aplicable de protección de datos. Si los logs muestran exportaciones masivas y hay evidencia de comunicación con un tercero, la probabilidad de un incidente real es alta. Si sólo hay sospechas sin trazas, tienes que actuar con cautela para no acusar sin base.

Es esencial diferenciar entre un mal uso interno (uso indebido para fines personales), una exfiltración maliciosa con ánimo de lucro y un error humano (compartir por equivocación). Cada hipótesis tiene consecuencias laborales y penales distintas, y también diferentes obligaciones de comunicación a las personas afectadas y a la autoridad de protección de datos.

Cómo se soluciona

1) Contención inmediata y preservación de evidencias

• Suspende inmediatamente las credenciales del empleado implicado y restringe accesos. Si es posible, recupera o aísla dispositivos corporativos. Solicita conservación de registros al proveedor de correo, servicios cloud y sistemas implicados. No manipules los dispositivos más de lo necesario para evitar alterar evidencias.

2) Reúne y documenta la prueba

• Exporta logs de acceso, copias de ficheros transferidos, correos y comunicaciones con terceros. Guarda metadatos y registra todas las acciones realizadas tras el descubrimiento del incidente. Documenta fechas, personas y sistemas implicados.

3) Evalúa el alcance y el riesgo

• Identifica qué categorías de datos se han comprometido (datos identificativos, financieros, de salud, etc.) y cuántas personas están afectadas. Analiza el riesgo real para los derechos y libertades de los afectados: el mayor riesgo exige medidas más contundentes.

4) Tomar medidas correctoras

• Si procede, revoca accesos, cambia credenciales, refuerza controles técnicos y actualiza políticas internas. Considera medidas de mitigación como ofrecer soporte a los afectados y bloquear cuentas comprometidas.

5) Notificación y coordinación

• Valora la obligación de comunicar el incidente a la autoridad de control competente y la necesidad de informar a las personas afectadas. Prepara los textos de notificación con la información exigible y la descripción de medidas adoptadas. Si existe riesgo para derechos fundamentales, la notificación a los afectados suele ser necesaria.

6) Procedimientos disciplinarios y posible denuncia

• Inicia un expediente disciplinario interno con garantía de audiencia. Si hay indicios de delito —venta de datos a terceros— considera la presentación de denuncia ante las autoridades competentes, coordinándola con la preservación de pruebas para facilitar la investigación penal.

Qué puede hacer la empresa sola y cuándo necesita ayuda externa

• La empresa puede bloquear accesos, recopilar logs y notificar internamente. Necesitarás asesoramiento jurídico si hay indicios penales, cuando sea necesario gestionar la comunicación pública o si la autoridad de control inicia actuaciones. Un abogado especializado y, si procede, un forense informático ayudan a preservar la cadena de custodia y a preparar pruebas para procesos penales o sancionadores.

Qué puede pasar

1) Se soluciona internamente

Si el alcance es limitado y logras recuperar control, la medida habitual es un expediente disciplinario que puede terminar en sanción o despido, combinado con medidas técnicas y comunicaciones a los afectados cuando proceda.

2) Acuerdo o mediación con afectados

En casos con impacto moderado, puedes ofrecer compensaciones, servicios de mitigación o acciones correctoras que eviten litigios individuales. A veces una respuesta rápida y transparente reduce reclamaciones posteriores.

3) Procedimiento sancionador o penal

Si la autoridad de protección de datos estima que ha habido una vulneración grave de obligaciones, puede abrir un procedimiento sancionador. Además, la venta de datos puede constituir delito; si se denuncia, interviene la jurisdicción penal. Si la empresa no adoptó medidas de seguridad razonables, su responsabilidad también puede verse comprometida.

Y si ganas, ¿cobras? En el plano penal no hay “cobro” para la empresa; en lo civil, una sentencia a favor puede implicar indemnizaciones que dependen de la capacidad económica del responsable o del tercero que compró los datos.

Errores que arruinan el caso

• No preservar la cadena de custodia: manipular dispositivos sin protocolo puede invalidar pruebas.
• Suspender cuentas sin documentarlo: la falta de registro de medidas posteriores dificulta demostrar que actuaste correctamente.
• Comunicar mal a afectados: mensajes incompletos o técnicos agravan la percepción y la reacción de clientes y autoridades.
• Ignorar la coordinación con forenses y abogados: intentar investigar por tu cuenta sin asegurar técnica y jurídico puede comprometer la acción penal o sancionadora.