Inicio Consumo y fraude digital Fraude digital Me investiga la autoridad de datos
Me investiga la autoridad de datos
Acá la empresa no es la que denuncia: es la investigada. Y es una situación que cada vez llega más, porque los ataques dejaron de ser un asunto puertas adentro.
La vuelta que casi nadie ve venir
La empresa sufre un ataque: le entran al sistema, le encriptan los archivos o le filtran una base con datos de clientes. Se ocupa de recuperar los sistemas, de atender a los clientes, de seguir trabajando.
Y semanas después llega otra cosa: una investigación de la autoridad de protección de datos, que no viene a ayudar sino a determinar si la empresa cumplía con lo que debía.
La autoridad ha iniciado investigaciones de oficio por filtraciones masivas, señalando expresamente que no había recibido notificación formal del incidente. Ese detalle (haber avisado o no) es de lo primero que se mira.
Qué se evalúa
- Qué medidas de seguridad había antes del incidente, y si eran razonables para el tipo y la cantidad de datos que se manejaban.
- Qué datos se vieron afectados. No es lo mismo un listado de correos que datos sensibles: salud, biometría, información financiera.
- Cómo se reaccionó: si se contuvo el incidente, si se avisó, si se informó a las personas afectadas.
- Si la base estaba registrada y si el tratamiento tenía base legal.
Ser víctima del ataque no exime, pero sí pesa. Lo que se juzga no es haber sido atacado: es qué había puesto antes y qué se hizo después.
Y el otro frente
Casi siempre aparecen los dos a la vez: el sumario administrativo, y los reclamos individuales de las personas cuyos datos se filtraron.
Conviene manejarlos coordinados, porque lo que se declara en uno puede usarse en el otro. Contestar el sumario sin pensar en esos reclamos es un error caro.
Las primeras setenta y dos horas
La diferencia entre una empresa que sale con un apercibimiento y otra que sale con una multa importante casi nunca está en el ataque: está en lo que hizo en los días siguientes.
Contener el incidente, documentar qué pasó y cuándo se supo, informar a la autoridad y a los afectados, y guardar registro de todo eso, construye la defensa antes de que el sumario exista.
Si el ataque fue esta semana, ése es el momento de llamar. No cuando llegue la notificación.
Preguntas frecuentes
Nosotros también fuimos víctimas del ataque
Es cierto y es parte de la defensa, pero no alcanza por sí solo: lo que se evalúa es qué medidas había antes y cómo se reaccionó después.
¿Hay que avisar aunque no estemos seguros del alcance?
Demorar el aviso hasta tener todo claro suele salir peor que informar lo que se sabe y ampliar después.
¿Qué pasa si no contestamos?
El sumario avanza igual y sin nuestra versión. El silencio no frena nada y elimina la posibilidad de acotar la sanción.
¿Nos pueden cerrar la base de datos?
El régimen prevé sanciones que van desde apercibimientos y multas hasta medidas sobre la base. Por eso conviene tomarlo en serio desde el primer día.
Fue un ataque con pedido de rescate
Entonces son dos cosas a la vez. La parte del ataque está en me encriptaron los archivos y piden rescate.
¿Tu empresa tuvo una filtración?
Traé todo lo que tengas del incidente y de lo que se hizo después, con fechas. Si todavía no notificaste, ése es el primer tema. La primera entrevista es sin cargo.
Actualizado en agosto de 2026
Punto de Ley es un estudio jurídico de la Ciudad Autónoma de Buenos Aires. La Dra. Patricia Alejandra Sokolowski es abogada matriculada en la Capital Federal y en la Provincia de Buenos Aires, y lleva casos de defensa del consumidor y fraude digital en las dos jurisdicciones. La primera consulta es sin cargo.