Ser víctima de un ciberataque no exime a una empresa colombiana de sus obligaciones legales de protección de datos. Riesgos, reportes ante la SIC y prevención.
El error de creer que, por ser víctima de un hacker, nadie puede exigirte responsabilidades.
Lectura estimada: 3 minutos
I. El mensaje
A las 7:15 de la mañana, el gerente abre su computador. El café sigue caliente sobre el escritorio. En la pantalla aparece un mensaje:
“Tenemos la información de sus clientes. Si quieren recuperarla, tienen que pagar”.
Los archivos no abren. Los empleados empiezan a llamar. Nadie sabe exactamente qué información se llevaron.
Es una escena hipotética. Pero plantea un problema muy real para cualquier empresa colombiana: cuando roban datos personales, el delito lo comete un tercero, pero eso no necesariamente libera de responsabilidad a quien debía protegerlos.
II. La defensa que parece suficiente
El argumento empresarial suele ser este: nosotros también fuimos víctimas. No autorizamos el acceso, no entregamos voluntariamente la información y contratamos un proveedor tecnológico para protegerla.
Cuando lo escribo así de seguido, suena razonable.
Pero la Ley 1581 de 2012 establece obligaciones de seguridad para quienes administran datos personales.
Y aquí está la diferencia: ser víctima de un delito no equivale a haber cumplido todos los deberes legales.
La Superintendencia de Industria y Comercio puede imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes cuando establece infracciones sancionables a esta ley.
La sanción no es automática. Depende de los hechos y del incumplimiento acreditado.
Ahora, las señales.
III. Tres advertencias que muchos ignoran
Piensen en sus empresas.
¿Todos los empleados pueden consultar información de clientes que no necesitan para trabajar? ¿Tienen copias de seguridad verificadas? ¿Saben quién debe actuar si un delincuente accede a sus sistemas?
El riesgo crece cuando las contraseñas se comparten, los permisos nunca se revisan y nadie tiene asignada la respuesta jurídica ante un incidente.
Hay otro detalle que conviene conocer: los incidentes de seguridad sujetos a reporte ante la SIC deben informarse, conforme a las instrucciones aplicables, dentro de los 15 días hábiles siguientes a su detección y conocimiento por el área o persona encargada de atenderlos.
No es un plazo para empezar a investigar. Es una obligación que debe evaluarse desde el primer momento.
Ahora, la decisión.
IV. Lo que haría antes de que ocurra
Revisaría quién tiene acceso a los datos, qué medidas de protección pueden demostrarse y cómo están distribuidas las responsabilidades con los proveedores.
Y si el ataque ya ocurrió, activaría la contención técnica, preservaría las evidencias y evaluaría inmediatamente los reportes legales y las comunicaciones necesarias.
Porque recuperar los computadores no necesariamente resuelve el problema jurídico.
Una empresa puede recuperar sus archivos en dos días y enfrentar durante meses las consecuencias del incidente.
El verdadero problema no es únicamente que alguien haya entrado. Es descubrir que nadie estaba preparado para responder.
Para que no se me olvide: si administran información de clientes, trabajadores o pacientes y necesitan evaluar su exposición jurídica, pueden escribirme a través de carlosgomezlawyer.com. Revisaremos el escenario y las medidas que corresponda adoptar.
Les dejo una pregunta: si mañana robaran todos los datos personales que conserva su empresa, ¿podrían demostrar cómo los estaban protegiendo?
#ProteccionDeDatos #Ciberseguridad #DerechoEmpresarial #ResponsabilidadEmpresarial #TECHLATTE