Cuando una empresa te avisa que tus datos personales fueron comprometidos, ese mensaje no es solo una formalidad corporativa: es el inicio de un plazo en el que podés ejercer derechos concretos. Saber qué preguntar, qué exigir y qué pasos seguir hace la diferencia entre quedar expuesto o mitigar el daño.
Una notificación de brecha de datos personales es el aviso formal que un responsable del tratamiento —empresa, organismo o plataforma— está obligado a emitir cuando detecta que información bajo su custodia fue accedida, copiada, alterada o destruida sin autorización. La obligación existe porque la mayoría de las leyes de protección de datos de la región reconocen que el titular del dato tiene derecho a saber que su información estuvo en riesgo, y a tomar medidas antes de que ese riesgo se materialice en un daño concreto: fraude, suplantación de identidad, extorsión.
Qué debe decirte la notificación según la ley
No toda comunicación que llegue por correo o por la aplicación de una empresa califica como notificación válida. Las leyes de la región establecen contenidos mínimos. El Reglamento General de Protección de Datos de la Unión Europea (GDPR), que sirvió de modelo para varias normas latinoamericanas, exige que la notificación al titular describa la naturaleza del incidente, los tipos de datos afectados, las consecuencias probables y las medidas adoptadas o propuestas. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) obliga a la Autoridade Nacional de Proteção de Dados (ANPD) a recibir el reporte del incidente en un plazo de dos días hábiles desde que el responsable toma conocimiento, y la notificación a los titulares debe realizarse en un “plazo razonable” definido por la propia ANPD mediante resolución. En Argentina, la Ley 25.326 de Protección de los Datos Personales y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP) también contemplan el deber de notificación, aunque sin el mismo nivel de especificidad que la LGPD. México, a través del INAI y la LFPDPPP, establece que las vulnerabilidades de seguridad deben comunicarse a los titulares cuando representen un riesgo significativo para sus derechos.
Si la notificación que recibís es vaga —no especifica qué datos se vieron comprometidos, cuándo ocurrió el incidente ni qué está haciendo la empresa para remediarlo— tenés base suficiente para solicitar información adicional mediante un ejercicio de derechos de acceso, que en la región se conoce como derecho ARCO (Acceso, Rectificación, Cancelación y Oposición) o, en el marco del GDPR, como DSAR (Data Subject Access Request).
Primeros pasos concretos al recibir el aviso
La primera reacción no debería ser ignorar el mensaje ni entrar en pánico: debería ser documentar. Guardá la notificación original con fecha y hora. Si llegó por correo electrónico, no la muevas a la papelera. Si fue un aviso dentro de una aplicación, tomá capturas de pantalla. Ese registro es prueba si decidís presentar una reclamación ante la autoridad de control.
A continuación, evaluá qué tipo de datos estuvieron expuestos. No es lo mismo que hayan comprometido tu dirección de correo electrónico a que la brecha haya incluido tu número de documento, datos bancarios o información de salud. Cuanto más sensible la categoría de dato, mayor es la urgencia de actuar:
- Credenciales de acceso: cambiá la contraseña de esa plataforma y de cualquier servicio donde uses la misma combinación de usuario y clave. Activá autenticación en dos pasos.
- Datos financieros: notificá a tu banco o entidad emisora de tarjeta para que monitoreen transacciones sospechosas o, si la exposición fue grave, bloqueen preventivamente el instrumento.
- Documento de identidad o datos biométricos: revisá con las agencias de crédito si hay movimientos inusuales. En Argentina podés consultar el Veraz; en Brasil, el Serasa; en México, el Buró de Crédito.
- Datos de salud o categorías sensibles: el nivel de protección que exigen las leyes es mayor; si la empresa no detalla el alcance, ejercé el derecho de acceso de forma inmediata.
Cuándo aplica la notificación obligatoria y cuándo no
La obligación de notificar al titular no siempre existe en todos los marcos normativos con el mismo nivel de automatismo. En términos generales, el deber de avisar al afectado se activa cuando la brecha tiene probabilidad real de generar un perjuicio: daño reputacional, discriminación, fraude, pérdida económica o cualquier otra consecuencia desfavorable significativa. Si los datos expuestos estaban cifrados con estándares robustos y la clave de cifrado no fue comprometida, algunos marcos permiten omitir la notificación al titular —aunque no al regulador. En la práctica, si una empresa te notifica, es porque evaluó que el riesgo supera ese umbral, o porque optó por notificar de forma preventiva para evitar responsabilidad regulatoria.
Lo que no activa la obligación de notificación al titular, pero sí puede generar una denuncia, es la falta de notificación cuando correspondía hacerla. Si tomás conocimiento de que tus datos estuvieron involucrados en un incidente —por medios propios, por prensa o por terceros— y la empresa no te avisó, podés presentar una queja ante la autoridad de control correspondiente: la AAIP en Argentina, la ANPD en Brasil, el INAI en México, o la Superintendencia de Industria y Comercio (SIC) en Colombia.
Cómo ejercer tus derechos frente al responsable del dato
El canal habitual para ejercer derechos es el responsable del tratamiento, no la autoridad regulatoria. La mayoría de las empresas que operan en la región con apego a la normativa tienen habilitado un formulario, una casilla de correo o un enlace en su política de privacidad para gestionar solicitudes ARCO o DSAR. Los plazos de respuesta varían: la LFPDPPP de México establece 20 días hábiles; la Ley 25.326 argentina, cinco días hábiles para el derecho de acceso. Si la empresa no responde en término o lo hace de forma insatisfactoria, ese silencio o respuesta deficiente es en sí mismo un motivo para elevar una queja al regulador.
Un aspecto que las notificaciones corporativas raramente mencionan: en algunos ordenamientos, el titular tiene derecho a reclamar daños y perjuicios de forma directa ante los tribunales si puede demostrar que la brecha le causó un perjuicio concreto. En Argentina, la Ley 25.326 contempla expresamente la acción de daños. En Brasil, la LGPD establece responsabilidad civil objetiva del responsable del tratamiento por daños derivados de violaciones a la ley.
Para consultar los mecanismos de reclamo ante cada autoridad de la región, la AAIP publica sus canales en www.argentina.gob.ar/aaip, la ANPD en www.gov.br/anpd y el INAI en www.inai.org.mx.
