El apagón de DonWeb y la pregunta que nadie te puede responder

Imaginate que tu empresa depende de un proveedor de hosting. Un día, sin aviso previo, todos tus servicios dejan de andar. No podés facturar, no podés atender a tus clientes, ni siquiera podés entrar a bajar tus propios datos para mudarte a otro lado. Pasan las horas, pasan los días, y lo único que recibís es un comunicado de manual que habla de “reemplazo de un componente de conexión” y de trabajos para “normalizar el entorno”. Nada más. Ni una cifra, ni un plazo, ni una explicación real.

Eso es lo que vivieron esta semana miles de usuarios de DonWeb, después de que una falla dejara caído el 100% de los Cloud Servers del nodo NOVA. Coaches, pymes, estudios profesionales: negocios enteros con la persiana bajada durante días, mientras la empresa administraba el silencio como si fuera parte del servicio.

El problema no es la caída. Es lo que vino después

Los sistemas se caen. Eso, lamentablemente, es parte de operar infraestructura crítica y ninguna empresa está exenta. Lo que no debería tener excusa es la respuesta: un comunicado que suena más a parte de prensa redactado para no decir nada que a una rendición de cuentas real. “No existe riesgo de pérdida de datos”, dijeron. Sin métricas, sin cronología, sin una sola precisión sobre el alcance real del incidente. La confianza no se recupera con una frase tranquilizadora; se recupera con información verificable.

Lo planteé en el hilo que disparó la conversación: la magnitud de lo que pasó ameritaba mucho más que eso. Y la respuesta de la comunidad en Twitter/X lo confirmó de sobra. No fue una queja aislada, fue una catarata de usuarios frustrados, algunos de ellos con su negocio literalmente parado, otros directamente imposibilitados de entrar a exportar sus propios datos para irse a otro proveedor. Eso no es un detalle técnico menor: es quedar secuestrado por la misma empresa que te falló.

Lo grave: nada de esto es ilegal

Y acá está el verdadero problema, el que me interesa remarcar: hoy en Argentina, una empresa puede tener un incidente que afecte al 100% de su infraestructura, decidir contar lo mínimo indispensable, tardar días en dar señales de vida, y no violar una sola norma. La Ley 25.326 no establece ninguna obligación de notificar incidentes de seguridad, ni a los titulares de los datos ni a la AAIP. La autoridad de aplicación lo recomienda dentro de las obligaciones generales de seguridad, pero una recomendación no obliga a nadie a nada. Es una sugerencia con la que cualquier empresa puede quedar bien parada haciendo lo mínimo.

Esa laxitud no es neutral. Termina premiando el silencio. Mientras comunicar con transparencia implica exponerse a la crítica pública, no comunicar no tiene ningún costo legal. Así de simple, así de desalentador.

Un sistema pensado para proteger a la empresa, no al usuario

La Ley 25.326 tiene más de dos décadas y sigue vigente prácticamente intacta en este punto, mientras el país entero se mudó a la nube, tercerizó su infraestructura crítica y depende por completo de proveedores tecnológicos para sostener cualquier actividad económica. No es un desfasaje menor: es una ley diseñada para un mundo que ya no existe, aplicada sobre un ecosistema digital completamente distinto.

El resultado es previsible: los usuarios no tienen ninguna herramienta legal para exigir una explicación completa y oportuna. No pueden tomar decisiones informadas sobre sus propios datos porque no cuentan con la información necesaria para hacerlo. Y la autoridad de aplicación pierde cualquier posibilidad de intervenir a tiempo, porque se entera de los incidentes -si se entera- por Twitter, no por una notificación formal. La reputación quedó como único mecanismo de control. Y la reputación no repone datos perdidos, no compensa a una pyme que estuvo días sin facturar, ni le devuelve a nadie la posibilidad de haber tomado una decisión distinta a tiempo.

La buena voluntad no escala

Comunicar con transparencia el alcance, el impacto, las medidas adoptadas y el estado de recuperación de un incidente debería ser lo mínimo esperable de cualquier proveedor serio, sin que haga falta una ley que lo obligue. Pero seamos honestos: si dependemos de la buena voluntad corporativa para garantizar derechos básicos, ya sabemos cómo termina esa historia. La buena voluntad no escala, y mucho menos cuando lo que está en juego es la reputación de la propia empresa que tiene que dar la cara.

Por eso la discusión no puede quedar en el plano de las buenas prácticas. Argentina necesita, ya, una reforma de su ley de protección de datos personales que incorpore la obligación expresa de notificar incidentes de seguridad -tanto a los titulares de los datos como a la AAIP- dentro de plazos concretos y con contenido mínimo obligatorio. No es una idea exótica ni una imposición burocrática: es el estándar que rige hace años en buena parte del mundo. El RGPD europeo exige notificar a la autoridad dentro de las 72 horas de conocido el incidente, con multas severas para quien no lo haga. Argentina, que supo tener uno de los regímenes de protección de datos más avanzados de la región, hoy quedó rezagada frente a una exigencia que en otros lugares ya es moneda corriente.

¿Cuántos incidentes como el de DonWeb están pasando ahora mismo, en otras empresas, sin que nadie se entere porque no hubo un hilo de Twitter que los visibilizara? Esa es la parte más inquietante de todo esto: lo de DonWeb se supo porque generó ruido público, no porque el sistema esté diseñado para que se sepa.

Mientras la reforma de la Ley 25.326 siga cajoneada, cada incidente de seguridad va a seguir resolviéndose de la misma manera: puertas para adentro, con la empresa decidiendo unilateralmente cuánto le cuenta al usuario sobre lo que pasó con su propia información. Eso no es un problema de comunicación corporativa. Es un problema de derechos, y ya es hora de tratarlo como tal.