Ya no es tan poco común recibir un mensaje de una gran empresa, con la que probablemente tengas contratado algún servicio, avisándote que han sufrido un incidente de seguridad y tus datos se han visto expuestos. En los últimos tiempos, hemos visto cómo esto pasaba en Endesa, Iberia, ING y otras muchas más entidades de renombre.
Ante esta situación, sus clientes se ven en una clara posición de indefensión total, pero por suerte, en España, pueden acogerse a una serie de derechos.
La narrativa habitual suele pintar estos sucesos como ataques de piratas informáticos sofisticados contra los que no se podía hacer nada, pero los datos oficiales desmontan esta idea. El Instituto Nacional de Ciberseguridad (INCIBE), que cerró el año 2025 gestionando más de 130.000 incidentes, una cifra récord que supera con creces los registros anteriores, advierte de que cerca del 70 % de las brechas de seguridad no provienen de hackers expertos, sino de fallos internos, errores de configuración en sus sistemas o negligencias en la custodia de la información.
Esta distinción es crucial, ya que, si la empresa ha blindado correctamente sus sistemas, la responsabilidad recae sobre ella. Y es aquí donde, como usuario, debes dejar de lamentarte y empezar a actuar.
¿Qué derechos tienes?
Cuando tus datos (DNI, teléfono, cuenta bancaria o domicilio) acaban expuestos, se ha roto un contrato legal. Según los gabinetes de abogados consultados por los redactores de ADSLZone, la clave está en el artículo 5 del Reglamento General de Protección de Datos (RGPD).
Este artículo consagra el «principio de integridad y confidencialidad», que obliga a cualquier organización que tenga tus datos a garantizar una seguridad proactiva frente al acceso no autorizado, la pérdida o la destrucción de datos.
Los expertos legales señalan algo clave, y es que en un juicio o reclamación, no eres tú quien debe demostrar que la empresa lo hizo mal, sino que deben ser ellos quienes acrediten documentalmente que disponía de las medidas técnicas y organizativas suficientes para evitar el desastre. Si hubo una filtración por un error de configuración, la empresa lo tendrá muy difícil para justificar su diligencia, abriendo la puerta a reclamaciones por daños y perjuicios.
Estos daños no tienen por qué ser solo económicos directos, como que te roben dinero del banco. De hecho, los juzgados ya están comenzando a reconocer el daño moral como otra de las consecuencias de estos ciberataques, derivado de la pérdida de control sobre los datos personales y la ansiedad generada por la exposición.
Cómo reclamar tus derechos
Lo más normal es que la información robada de uno de estos ciberataques se use o se venda en las 72 horas siguientes, por lo que es clave actuar de inmediato. Si sospechas que tus datos están en una de estas filtraciones recientes, INCIBE recomienda un protocolo de emergencia:
- Cambia inmediatamente la contraseña del servicio afectado y, por precaución, la del correo electrónico asociado. Si usas la misma contraseña en otros sitios, cámbiala en todos.
- Activa la verificación en dos pasos, ya que es la única barrera que detendrá a un hacker que ya tiene tu contraseña.
- Revisa tus cuentas bancarias y las plataformas de pago como PayPal diariamente durante las primeras semanas. Cualquier cargo, aunque sean unos céntimos, puede ser una prueba de los delincuentes para ver si la tarjeta está activa.
Cómo pedir una indemnización
Para que esta prospere, necesitas trazabilidad. Los abogados expertos en protección de datos insisten en que documentar la irregularidad es vital.
Si tras la filtración empiezas a recibir llamadas extrañas, intentos de acceso a tu cuenta de Netflix o correos sospechosos, no lo borres. Haz capturas de pantalla, guarda los registros de llamadas y descarga el historial de accesos de tus cuentas. Todo esto constituye la prueba de que la brecha de seguridad ha tenido consecuencias medibles en tu vida diaria o ha puesto en riesgo tu patrimonio.
Además, según ha podido saber ADSLZone, los afectados tienen derecho a reclamar cuando la brecha produce efectos como intentos de fraude, accesos no reconocidos o pérdida de control sobre información personal. Incluso si el origen del fallo fue accidental, la empresa debe responder.
El procedimiento suele comenzar con una reclamación ante el Delegado de Protección de Datos (DPO) de la empresa y una denuncia ante la Agencia Española de Protección de Datos (AEPD). Con la resolución en la mano, la vía civil para solicitar una compensación económica se vuelve mucho más sencilla.