¿Qué hacer ante un posible hackeo?

Que una empresa sufra un hackeo y se filtren datos personales puede generar preocupación, riesgo de fraude y dudas sobre los derechos que tiene cada persona afectada.

Lo primero es identificar qué información se ha visto comprometida y qué medidas debe adoptar la empresa responsable. Después, el usuario puede solicitar información, proteger sus cuentas, documentar los daños y valorar si procede presentar una reclamación ante la Agencia Española de Protección de Datos o solicitar una indemnización.

En este artículo explicamos qué puede hacer una persona afectada por una brecha de seguridad, qué obligaciones tiene la empresa, cuándo puede existir derecho a reclamar y cómo conservar evidencia de las comunicaciones y perjuicios sufridos.

Hackeos y filtraciones de datos personales

En los últimos años se han hecho públicos hackeos informáticos que han afectado a grandes empresas como Iberdrola, Santander o Decathlon. Este tipo de incidentes puede perjudicar la reputación y la situación económica de las compañías, pero también expone a sus millones de usuarios a riesgos de fraude, suplantación de identidad y campañas de phishing.

Pese al desarrollo continuo de la normativa digital y a los esfuerzos por mejorar la seguridad de Internet, siguen produciéndose brechas que permiten el acceso no autorizado a bases de datos y sistemas empresariales. La información filtrada puede incluir nombres, direcciones, teléfonos, credenciales, datos contractuales, información financiera u otros datos especialmente sensibles.

Una brecha de datos personales no tiene que producirse únicamente por un ataque externo. También puede existir cuando se pierde un dispositivo, se envía información al destinatario equivocado, se publica una base de datos por error o un empleado utiliza credenciales comprometidas. La AEPD explica qué se considera una brecha de seguridad y cómo debe gestionarse.

Debido a estos incidentes, las empresas pueden asumir responsabilidades administrativas, civiles y, en algunos casos, contractuales. La AEPD es la autoridad encargada de supervisar el cumplimiento de la normativa de protección de datos en España y puede imponer sanciones cuando el responsable no ha aplicado medidas adecuadas o no ha gestionado correctamente la brecha.

A modo de ejemplo, la AEPD ha publicado expedientes sancionadores relacionados con grandes empresas, incluidos casos con multas de varios millones de euros. Una sanción administrativa no significa automáticamente que todas las personas afectadas tengan derecho a cobrar una indemnización, pero puede ser un elemento relevante para analizar la diligencia de la empresa y las circunstancias del incidente.

Qué es una brecha de datos personales

Una brecha de datos personales es un incidente que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales.

Puede afectar a la confidencialidad, la integridad o la disponibilidad de la información. Algunos ejemplos son:

• Robo de una base de datos.
• Acceso de terceros mediante credenciales comprometidas.
• Publicación accidental de información.
• Pérdida de un ordenador o teléfono con datos personales.
• Envío de datos a una persona equivocada.
• Ataque de ransomware.
• Exfiltración de información desde un sistema empresarial.

La gravedad debe valorarse según el tipo de datos, el volumen de personas afectadas, la facilidad para identificar a los usuarios y las consecuencias previsibles. No tiene el mismo impacto la filtración de un nombre y una dirección que la exposición de datos bancarios, información sanitaria, documentos de identidad o credenciales de acceso.

Qué debe hacer una empresa tras una brecha de seguridad

La empresa debe activar su plan de respuesta, analizar el alcance del incidente, contenerlo y valorar los riesgos para las personas afectadas.

Cuando la brecha pueda suponer un riesgo para los derechos y libertades de las personas, el responsable debe notificarla a la autoridad de control sin dilación indebida y, cuando sea posible, dentro del plazo de 72 horas desde que tuvo conocimiento de ella.

Si es probable que la brecha entrañe un alto riesgo para las personas, también debe comunicarla a los afectados sin dilación indebida, utilizando un lenguaje claro y explicando la naturaleza del incidente, las posibles consecuencias y las medidas adoptadas.

La empresa debe documentar el incidente, aunque finalmente determine que no existe obligación de notificarlo a la autoridad. El RGPD exige conservar información sobre los hechos, sus efectos y las medidas correctivas para que la autoridad pueda verificar el cumplimiento.

Qué hacer si se han filtrado tus datos

Comprueba qué información se ha visto afectada

Si has recibido una comunicación de una empresa informando de una brecha, no la ignores. Lee con atención qué datos pueden haberse visto afectados, cuándo ocurrió el incidente y qué recomendaciones ofrece la compañía.

La empresa debe explicar, dentro de lo posible, qué categorías de datos se han visto afectadas. Si la información recibida es demasiado genérica, puedes solicitar detalles adicionales.

Ejerce tu derecho de acceso

También tienes derecho a conocer qué información personal trata una compañía. El derecho de acceso ante la AEPD permite solicitar confirmación sobre el tratamiento y obtener una copia de los datos, junto con información sobre finalidades, categorías, destinatarios y plazos de conservación.

Cambia las contraseñas y activa la autenticación multifactor

Cambia inmediatamente las contraseñas asociadas a la empresa afectada. Si utilizabas la misma contraseña en otros servicios, cámbiala también allí.

Utiliza contraseñas diferentes y activa la autenticación multifactor siempre que esté disponible. No compartas códigos recibidos por SMS, aplicaciones de autenticación o correo electrónico con personas que se pongan en contacto contigo después de la filtración.

Revisa tus cuentas bancarias

Comprueba tus cuentas bancarias, tarjetas, servicios de pago y perfiles de compra. Presta atención a operaciones que no reconozcas, cambios de datos personales o solicitudes de financiación.

Si se han filtrado datos financieros o documentos de identidad, contacta con tu banco y pregunta qué medidas preventivas pueden aplicar.

Desconfía de mensajes y llamadas sospechosas

Los ciberdelincuentes pueden utilizar la información filtrada para enviar correos, SMS o llamadas muy convincentes. No pulses enlaces inesperados, no descargues archivos sospechosos y verifica la identidad de quien te contacta mediante un canal oficial.

Una empresa legítima no debería pedirte contraseñas, códigos de verificación o transferencias urgentes para “proteger” una cuenta.

Conserva todas las pruebas

Guarda el aviso de la empresa, los correos, SMS, capturas, llamadas registradas y cualquier documento que explique el incidente. También debes conservar pruebas de los perjuicios que hayas sufrido, como cargos no autorizados, gastos de renovación de documentos, tiempo empleado en recuperar cuentas o consecuencias profesionales.

¿Puedo reclamar una indemnización por una filtración de datos?

Si la filtración de datos te ha causado un perjuicio personal, material o financiero, puedes contactar con la empresa responsable y solicitar información, medidas correctivas y, cuando corresponda, una compensación.

El artículo 82 del RGPD reconoce el derecho a obtener una indemnización cuando una infracción de la normativa causa daños materiales o inmateriales. No toda brecha genera automáticamente una indemnización. Es necesario analizar si existió una infracción, si hubo un daño real y si existe relación causal entre la actuación de la empresa y el perjuicio.

Algunos ejemplos de posibles daños son:

• Pérdidas económicas por fraude o uso no autorizado.
• Gastos derivados del bloqueo o recuperación de cuentas.
• Suplantación de identidad.
• Daño reputacional.
• Ansiedad u otras consecuencias no patrimoniales, según las circunstancias.
• Pérdida de oportunidades o afectación profesional.

La existencia de una sanción de la AEPD no concede por sí sola una indemnización automática a cada afectado. La reclamación civil debe analizarse de forma independiente y requiere acreditar el daño y su relación con el incumplimiento.

Cómo reclamar ante la AEPD

Si consideras que la empresa no ha protegido adecuadamente tus datos o no ha respondido correctamente a tus derechos, puedes presentar una reclamación ante la AEPD.

Antes de acudir a la Agencia, normalmente conviene contactar con la empresa o con su delegado de protección de datos y conservar la respuesta. La reclamación debe incluir una explicación de los hechos y la documentación disponible.

La AEPD puede investigar si se han incumplido las obligaciones de protección de datos e imponer medidas o sanciones. Sin embargo, la Agencia no actúa como un tribunal civil para fijar automáticamente una indemnización individual por todos los daños.

Por ello, si existe un perjuicio económico o personal relevante, es conveniente valorar también la vía civil con un abogado especializado.

Qué documentación debes conservar

Para analizar una reclamación, reúne toda la información posible:

1. Comunicación de la empresa sobre la brecha.
2. Fecha en la que recibiste el aviso.
3. Descripción de los datos afectados.
4. Respuestas enviadas a la empresa.
5. Solicitudes de acceso o información.
6. Respuestas recibidas.
7. Cargos, gastos o incidencias relacionados.
8. Denuncias o comunicaciones al banco.
9. Informes policiales, si hubo fraude o suplantación.
10. Capturas y mensajes sospechosos.

Las comunicaciones importantes pueden conservarse mediante un email certificado para dejar constancia del contenido enviado, la fecha y el destinatario. Esto puede ser útil cuando solicitas información a la empresa, ejerces un derecho, reclamas una respuesta o comunicas formalmente un perjuicio.

Cómo ayuda Legalpin a documentar una filtración de datos

Legalpin no evita un hackeo, no sustituye las medidas de ciberseguridad de una empresa y no determina si existe derecho a una indemnización. Su utilidad está en ayudar a documentar las comunicaciones que se producen después del incidente.

Una persona afectada puede utilizar una comunicación certificada para solicitar a la empresa información sobre los datos comprometidos, pedir una respuesta a una reclamación o dejar constancia de los perjuicios que considera causados. El expediente permite conservar el texto enviado, los documentos adjuntos, el destinatario, la fecha y la trazabilidad disponible.

Para una empresa, Legalpin puede ayudar a organizar el envío de avisos a clientes afectados, instrucciones de seguridad, solicitudes de actualización de contraseñas o comunicaciones relacionadas con la gestión del incidente. La empresa puede conservar qué versión del aviso se envió, a qué destinatarios y cuándo se realizó la comunicación.

Esto es especialmente importante cuando la organización debe demostrar que informó a los afectados, que ofreció instrucciones claras o que respondió a una solicitud concreta. El registro de la comunicación no sustituye la evaluación jurídica de la brecha, pero ayuda a evitar que las actuaciones queden dispersas en cuentas de correo y sistemas internos.

Si la comunicación incluye un documento que requiere aceptación, puede complementarse con firma electrónica. Si se trata de una reclamación formal o de una comunicación con especial relevancia, puede valorarse el uso de Buromail, según el caso y el asesoramiento jurídico recibido.

Medidas para protegerte después de una filtración

• No reutilices contraseñas.
• Activa la autenticación multifactor.
• Revisa los movimientos bancarios.
• Solicita el bloqueo de tarjetas si existe riesgo.
• Comprueba si tus datos aparecen en servicios de monitorización de filtraciones.
• Desconfía de llamadas y mensajes que utilicen información real sobre ti.
• Actualiza tus dispositivos y aplicaciones.
• Conserva la comunicación oficial de la empresa.
• Documenta cualquier perjuicio desde el primer momento.
• Consulta con un abogado si existe un daño relevante o una posible reclamación.

Conclusión

Un hackeo con filtración de datos no significa automáticamente que la empresa sea responsable de todos los perjuicios ni que cada afectado tenga derecho a una indemnización. La responsabilidad depende de las circunstancias del incidente, de las medidas aplicadas, del cumplimiento del RGPD y de la existencia de un daño demostrable.

Como usuario, lo más importante es averiguar qué información se ha visto afectada, proteger tus cuentas, vigilar posibles fraudes, ejercer tus derechos y conservar una documentación completa. Si necesitas dejar constancia de una solicitud, reclamación o comunicación relacionada con la filtración, puedes probar Legalpin gratis y valorar cómo organizar la evidencia del proceso.