Cómo responder a una filtración de datos: los primeros días

A una voluntaria le roban la computadora portátil del carro. Una hoja de cálculo con los donantes se envía a toda la lista de correo. Alguien entra al correo de la organización y empieza a mandar mensajes extraños. Cualquiera de estas cosas puede ser una filtración de datos: información personal perdida, robada o vista por alguien que no debería verla.

Esta guía es para los primeros días después de enterarse. Sigue la guía de la Comisión Federal de Comercio (FTC), Data Breach Response: A Guide for Business, escrita para empresas pero útil también para una organización benéfica. Nuestras guías de nociones básicas de ciberseguridad y de privacidad de datos explican cómo hacer menos probable una filtración.

Primer día: que no empeore

La primera instrucción de la FTC es actuar rápido para asegurar sus sistemas y corregir lo que causó la filtración.

• Forme un equipo pequeño de respuesta. Normalmente la directora ejecutiva o el presidente de la junta, quien se encarga de la tecnología y alguien que pueda manejar las comunicaciones. Mantenga el grupo pequeño y los detalles en reserva hasta saber qué pasó.
• Pida ayuda. La FTC sugiere un experto forense que averigüe qué pasó y hasta dónde llegó, y un abogado, idealmente con experiencia en privacidad y seguridad de datos. Si tiene un seguro cibernético, llame a la aseguradora ahora y revise qué le pide la póliza y en qué plazo.
• Evite que se filtren más datos. La FTC dice que desconecte de la red los equipos afectados, pero que "no apague ninguna máquina hasta que lleguen los expertos forenses", porque eso puede destruir evidencia.
• Cambie las contraseñas. Si pueden haber robado datos de acceso, cámbielos y active el inicio de sesión en dos pasos donde no esté activado. La FTC señala que sigue expuesto hasta que cambie las credenciales robadas.
• Quite lo que se publicó por error. Si se publicó información personal en su sitio web, retírela. Los buscadores pueden guardar copias en caché por un tiempo, así que la FTC sugiere comunicarse con ellos para asegurarse de que no archiven la información personal publicada por error, y buscar sus datos en otros sitios.
• No destruya evidencia. Conserve los registros, correos y dispositivos tal como están. Anote qué pasó, cuándo, quién lo descubrió y qué ha hecho, sobre la marcha.

Días dos y tres: averigüe qué pasó

Con su experto, responda:

• ¿Qué información se vio afectada? Nombres y correos solos no son lo mismo que números de Seguro Social, datos bancarios, información de salud o datos sobre niños. Las leyes estatales definen qué tipos de información cuentan.
• ¿De quién era? ¿Donantes, voluntarios, empleados, las personas a las que sirve? ¿Cuántas personas y en qué estados viven?
• ¿Estaba cifrada? Algunas leyes tratan distinto los datos cifrados. La de California, por ejemplo, cubre la información personal no cifrada, y la cifrada solo si también se obtuvo la clave o credencial que podría descifrarla.
• ¿Sigue pasando y ya se corrigió la causa?

La FTC también dice que revise a sus proveedores de servicios. Si estaba involucrado un proveedor de base de datos, nómina o correo, averigüe qué acceso tiene y, si dice que ya corrigió el problema, verifíquelo.

A quién puede tener que avisar

Leyes estatales de notificación

La FTC dice que todos los estados, el Distrito de Columbia, Puerto Rico y las Islas Vírgenes tienen leyes que exigen notificar las filtraciones de seguridad que afectan información personal. Son distintas en qué cuenta como información personal, qué tan rápido hay que actuar y a qué autoridades avisar. Tres ejemplos:

• California. El Código Civil 1798.82, con los cambios vigentes desde el 1 de enero de 2026, exige que una persona o empresa que hace negocios en California avise a todo residente de California cuya información personal no cifrada haya sido obtenida, o se crea razonablemente que fue obtenida, por una persona no autorizada, "dentro de los 30 días calendario" siguientes a descubrir la filtración o recibir aviso de ella. El aviso puede retrasarse por necesidades de las autoridades policiales, o cuando sea necesario para determinar el alcance de la filtración y restablecer el sistema. Debe estar en lenguaje sencillo, con el título "Notice of Data Breach" (aviso de filtración de datos) y con encabezados fijos. Si una sola filtración obliga a avisar a más de 500 residentes de California, también debe enviar electrónicamente al fiscal general una copia de muestra del aviso, sin información personal, "dentro de los 15 días calendario" siguientes a avisar a los afectados.
• Texas. El fiscal general de Texas dice que las empresas y organizaciones que tengan una filtración que afecte a 250 o más texanos deben reportarla al fiscal general "tan pronto como sea posible en la práctica y a más tardar 30 días después de descubrir la filtración", con el formulario en línea del fiscal general, y también deben avisar a las personas afectadas.
• Nueva York. La Ley General de Negocios, § 899-aa, dice que el aviso a las personas afectadas debe hacerse "en el plazo más rápido posible y sin demora injustificada", y dentro de los treinta días después de descubrir la filtración, con un posible retraso si lo necesitan las autoridades policiales. También debe informar al fiscal general del estado, al Departamento de Estado y a la Policía Estatal sobre el momento, el contenido y la distribución de los avisos. La página del fiscal general sobre la Ley SHIELD dice que basta con presentar el reporte en su portal de filtraciones para avisar a los tres. Desde la Ley SHIELD, una filtración incluye el acceso no autorizado a información privada, no solo que alguien se la lleve.

Son ejemplos, no una lista completa, y las leyes cambian. Busque la ley de cada estado donde viven las personas afectadas; el sitio web del fiscal general de su estado suele ser el mejor punto de partida. Su abogado debe revisar cada una para ver los plazos, a quién más hay que avisar y qué debe decir el aviso.

Otros a quienes avisar

La guía de la FTC también menciona:

• La policía. Reporte el incidente a su policía local enseguida. Si no conocen bien este tipo de casos, la FTC sugiere contactar al FBI o al Servicio Secreto de EE. UU. Si se robó correo postal, contacte al Servicio de Inspección Postal de EE. UU.
• Las agencias de crédito. Si se robaron números de Seguro Social, la FTC dice que contacte a las principales agencias de crédito y les diga si va a recomendar alertas de fraude o congelamientos de crédito a muchas personas.
• Bancos y otras empresas. Avise a cualquier banco o empresa cuyos datos de cuenta quedaron expuestos, y a cualquier organización cuyos datos usted guardaba.
• Información de salud. Si había expedientes de salud, puede aplicarse la Regla de Notificación de Filtraciones de Salud de la FTC o la Regla de Notificación de Filtraciones de HIPAA, con sus propias obligaciones de aviso.

Avise también pronto a la junta directiva. Una filtración es el tipo de riesgo que la junta debe conocer, y puede tener que aprobar gastos en expertos, avisos o monitoreo de crédito.

Cómo avisar a las personas afectadas

La FTC dice que avise rápido a las personas para que puedan protegerse, y que coordine el momento con la policía si le piden esperar. Un buen aviso:

• explica qué pasó y cuándo, en palabras sencillas,
• dice qué información se vio afectada,
• dice qué ha hecho para corregirlo y proteger a las personas,
• dice qué pueden hacer ellas, como cambiar contraseñas, vigilar sus cuentas o pedir una alerta de fraude o un congelamiento de crédito,
• las dirige a IdentityTheft.gov, el sitio de la FTC para recuperarse del robo de identidad, y
• da un nombre de contacto, un teléfono y un correo para preguntas.

La FTC sugiere considerar al menos un año de monitoreo de crédito o protección contra el robo de identidad gratis cuando se expusieron datos financieros o números de Seguro Social.

Sea honesto y concreto. No diga "no se llevaron información" hasta saberlo. Publique en su sitio web las respuestas a las preguntas comunes e informe a quien contesta su teléfono. Nuestra guía de comunicación en crisis explica cómo hablar con donantes, la prensa y su comunidad.

Después de los primeros días

• Corrija la causa y siga las recomendaciones de su experto. La FTC también sugiere revisar quién tiene acceso a qué y limitarlo a quien lo necesita.
• Haga una revisión breve con la junta: qué pasó, cuánto costó y qué va a cambiar.
• Guarde menos. Borre los datos que no necesita, según su política de conservación de documentos.
• Escriba un plan de una página para filtraciones con nombres y teléfonos de su abogado, su aseguradora, su apoyo informático y el presidente de la junta, para no tener que buscarlos la próxima vez.
• Revise sus seguros. Si no tenía un seguro cibernético, nuestra guía de nociones básicas de seguros explica qué puede pagar.

Lista de control de los primeros días

• Equipo de respuesta nombrado y registro cronológico iniciado
• Sistemas afectados desconectados (no apagados) y contraseñas cambiadas
• Contacto con el abogado, la aseguradora y, si hace falta, un experto forense
• Evidencia conservada, nada borrado
• Definido el tipo de información, el número de personas y sus estados
• Ley de notificación de cada estado revisada con un abogado, incluidos plazos y reportes a autoridades
• Policía contactada; agencias de crédito y bancos contactados si hace falta
• Junta informada
• Aviso en palabras sencillas enviado a las personas afectadas, con un contacto e IdentityTheft.gov
• Causa corregida y lecciones anotadas