Asuma primero la posición de partida, porque es contraintuitiva y lo condiciona todo. En una reclamación por daños derivada del tratamiento de datos, usted no llega al juicio como alguien a quien hay que probar culpable. Llega como responsable a quien se presume culpable, y a quien corresponde acreditar lo contrario.
Qué dice exactamente el artículo 82.3
El artículo 82 del RGPD reconoce al interesado el derecho a ser indemnizado por los daños que le cause una infracción. Su apartado 3 fija la única salida: el responsable o el encargado quedan exentos si demuestran que no son en modo alguno responsables del hecho que causó el daño. El verbo es «demostrar», no «alegar».
La Audiencia Provincial de Madrid ha aplicado ese estándar con nitidez: para no responder hay que acreditar haber empleado medidas de diligencia adecuadas destinadas a evitar la infracción, y ese deber alcanza también a las infracciones que llegan por una suplantación de identidad (SAP Madrid 273/2024).
Conviene ver cómo es, en la práctica, una diligencia que un tribunal da por acreditada. La misma Audiencia lo describió al absolver en un asunto de brecha.
[...] actuó de forma diligente en el cumplimiento de las obligaciones que ante una brecha de seguridad se le imponen
Ese es el estándar que hay que alcanzar para desactivar la presunción. No «no fue culpa nuestra», sino «esto es lo que hicimos, así consta, y esta es la fecha».
La suplantación no es una coartada automática
Es el escenario más frecuente y el peor entendido. Alguien se hace pasar por un cliente, pide un cambio o unos datos, se los dan, y de ahí nace el daño. La reacción natural del empresario es que la víctima del engaño es él.
Puede tener toda la razón y aun así perder. Porque lo que se examina no es si le engañaron, sino si su procedimiento de verificación de identidad era adecuado y si puede probar que lo aplicó aquel día concreto, en aquella solicitud concreta.
De ahí que la pieza defensiva no sea el testimonio del empleado que atendió la llamada. Es el rastro: qué se pidió al solicitante, qué se comprobó, quién lo autorizó y dónde quedó anotado. Un testimonio se contradice; un registro con fecha, no.
Y conviene entender por qué el tribunal lo mira así. Si bastara con decir que a uno le engañaron, la presunción del artículo 82.3 no serviría para nada: toda brecha empieza, por definición, con alguien que hizo algo que no debía. Lo que se examina, entonces, es lo único que estaba en su mano: si puso los filtros razonables y si puede enseñarlos.
Por qué reconstruir después casi nunca funciona
Cuando el expediente se arma a posteriori aparecen siempre las mismas grietas: fechas aproximadas, versiones que no coinciden entre departamentos, documentos sin firmar y correos que dicen «lo hablamos y quedamos en que...». Todo eso no es prueba de diligencia: es material para el interrogatorio de la parte contraria.
La posición sólida es la contraria y se reconoce por un síntoma muy simple. Si un juez le pidiera hoy la prueba de su diligencia, ¿la entregaría en una semana sin fabricar nada? Si la respuesta es tres meses, ya conoce su exposición real.
Hay además un efecto de credibilidad que no aparece en ninguna norma y decide muchas vistas. Una empresa que entrega su expediente completo el primer día transmite que aquello estaba gobernado. Otra que va aportando documentos a medida que se los piden transmite lo contrario, aunque los documentos sean buenos. En un asunto donde la culpa se presume, esa impresión pesa.
Qué acredita diligencia y qué no
Sirve
- Un inventario de medidas con fecha, anterior al incidente.
- Un protocolo escrito que diga quién decide la notificación y en qué plazo.
- Registros de verificación de identidad con resultado, autor y hora.
- Formación con lista de asistentes y fecha.
- Actas breves de las decisiones tomadas, y también de las descartadas.
No sirve
- La convicción sincera de que «esto siempre lo hemos hecho así».
- Un manual excelente que nadie aprobó ni fechó.
- Capturas y correos reunidos la semana del requerimiento.
- El criterio de un empleado que ya no trabaja en la empresa.
La diferencia entre las dos listas no es de esfuerzo ni de gasto. Es de momento: la primera se hace antes, la segunda después.
La consecuencia de negocio: reclamaciones en serie
Una presunción de culpa convierte a cada afectado en un reclamante con la mitad del trabajo hecho. Por eso, tras una brecha, las reclamaciones llegan en serie: el mismo escrito, cambiando el nombre. Y por eso la defensa también se organiza en bloque.
Su expediente probatorio no se prepara una vez por reclamación. Se prepara una vez y sirve para todas. Es la única economía de escala que juega de su lado en este terreno, y solo la tiene quien lo construyó antes. Los puntos por donde esas reclamaciones encuentran hueco están descritos en qué mira un tribunal cuando llega la reclamación.
Si demuestro que el ataque era muy sofisticado, ¿me exonero?
No por sí solo. La sofisticación del ataque se pondera, pero lo que se le exige acreditar es su propia conducta: qué medidas tenía, desde cuándo, y cómo actuó una vez detectado el incidente.
¿La presunción también alcanza al proveedor que trata datos por mí?
Alcanza a responsable y encargado, cada uno en su ámbito. Quién es cada cosa en cada sistema lo determina el contrato de encargo, y por eso la delimitación contractual es la primera línea de defensa.
¿Sirve de algo haber notificado a la autoridad?
Sirve, porque forma parte de la conducta diligente que se valora. Pero acredita cómo reaccionó, no qué tenía implantado antes; hacen falta las dos cosas.
El Test de Gestión de Brecha está construido sobre esa única pregunta: si se la piden hoy, ¿podría entregar la prueba de su diligencia sin reconstruir nada?
Mida su posición antes de necesitarla
Doce preguntas sobre lo que podría probar, no sobre lo que tiene instalado. Al final, su Índice de Defendibilidad y los huecos por orden de urgencia.
Hacer el Test de Gestión de Brecha