Una fuga de datos no se limita a un robo de identificadores. El marco regulatorio europeo superpone ahora varios regímenes jurídicos (RGPD, DSA) que crean obligaciones distintas para los responsables del tratamiento y las plataformas en línea. Para las personas afectadas, esta superposición abre palancas de acción a menudo subexplotadas.
Articulación RGPD y DSA: dos regímenes acumulativos en caso de fuga en una plataforma
Cuando ocurre una violación de datos en una gran plataforma, el RGPD impone la notificación a la CNIL y, en caso de riesgo elevado, la información directa a las personas. El reglamento sobre los servicios digitales (DSA) añade obligaciones propias para las plataformas en línea, especialmente en materia de transparencia y gestión de riesgos sistémicos.
Estos dos regímenes se acumulan, no se sustituyen entre sí. Una plataforma que notifica una violación bajo el RGPD sigue sujeta a sus obligaciones DSA sobre la moderación de los contenidos derivados de la fuga, por ejemplo, la difusión de bases de datos robadas en sus propios servicios.
Observamos que la mayoría de los particulares solo invocan el RGPD en sus reclamaciones ante la CNIL. Mencionar explícitamente el DSA en una queja permite señalar a la autoridad que la plataforma también ha fallado en sus obligaciones de diligencia. Varios recursos documentan esta doble exigencia, como las guías prácticas de Mindtrap que detallan los recursos disponibles según el tipo de plataforma implicada.
Sancciones CNIL en 2026: lo que revelan los montos sobre la doctrina de control
La CNIL no sanciona únicamente la falla técnica. En su informe publicado el 9 de septiembre de 2026, la autoridad impuso una multa de 27 millones de euros contra un operador de telefonía móvil el 8 de enero de 2026. Las infracciones incluyeron la seguridad de los datos, pero también la falta de información a las víctimas.
La señal es clara: una empresa que sufre una fuga y que tarda en informar a las personas afectadas se expone a una sanción autónoma por este solo retraso. Para un particular, esto significa que la ausencia de notificación constituye en sí misma un agravio admisible ante la CNIL.
Datos de salud: un nivel de riesgo jurídico superior
El 3 de septiembre de 2026, la CNIL sancionó a un hospital privado con 500 000 euros por una violación de datos de salud. Los datos médicos gozan de un régimen de protección reforzado bajo el artículo 9 del RGPD. Su divulgación puede conllevar discriminaciones en seguros, empleo o crédito, mucho más allá del riesgo de phishing clásico.
Recomendamos a las personas cuyas datos de salud han sido filtrados que documenten sistemáticamente cualquier rechazo o cambio en las condiciones contractuales que ocurra después de la violación. Estos elementos constituyen pruebas de perjuicio en el marco de una acción de reparación.
Derechos de las víctimas de fugas de datos: las palancas concretas a menudo ignoradas
Los artículos dirigidos al público en general se centran en el cambio de contraseña y la vigilancia ante el phishing. Estas medidas son necesarias, pero solo cubren una fracción de las acciones disponibles.
- Derecho de acceso reforzado (artículo 15 RGPD): solicitar al responsable del tratamiento la lista exacta de las categorías de datos comprometidos, los destinatarios a los que han sido comunicados y la fecha precisa de detección de la violación. Este derecho obliga al organismo a proporcionar una respuesta documentada en un plazo de un mes.
- Queja ante la CNIL con doble fundamento: invocar simultáneamente el incumplimiento de la seguridad (artículo 32 RGPD) y la falta de notificación a las personas (artículo 34 RGPD). Mencionar el DSA si la fuga afecta a una plataforma en línea sujeta a este reglamento.
- Acción de reparación del perjuicio: el RGPD abre un derecho a la reparación del daño material o moral (artículo 82). Documentar los intentos de fraude recibidos después de la fuga, los trámites administrativos realizados y el tiempo dedicado a asegurar sus cuentas constituye un expediente explotable ante el juez civil.
- Supervisión activa del IBAN: en caso de fuga de un identificador bancario, contactar a su banco para activar una lista blanca de acreedores autorizados en el débito SEPA. Impugnar cualquier débito no reconocido en un plazo de 13 meses.
Seguridad de las cuentas después de una fuga: más allá de la contraseña
Cambiar una contraseña comprometida no es suficiente si el mismo identificador (dirección de correo electrónico) se utiliza como pivote de autenticación en varios servicios. La reutilización de identificadores sigue siendo el primer vector de explotación tras una fuga.
Un gestor de contraseñas genera identificadores únicos por servicio, pero la capa de protección determinante sigue siendo la autenticación multifactor (MFA). Priorizar una aplicación TOTP o una clave física FIDO2 en lugar del SMS, cuya interceptación por SIM swapping está documentada.
Monitorear sus datos expuestos en la web
Varios servicios permiten verificar si una dirección de correo electrónico figura en una base de datos comprometida. Estas herramientas no reemplazan la notificación obligatoria por parte del responsable del tratamiento, pero llenan un ángulo muerto: ciertas fugas nunca son notificadas a las víctimas, ya sea por negligencia o porque el organismo impugna la calificación de violación.
Configurar alertas sobre sus identificadores principales permite reaccionar antes de recibir una notificación oficial, si es que esta llega algún día.
El marco jurídico europeo ofrece a las víctimas de fugas de datos recursos más amplios que las únicas medidas de higiene digital. Documentar la cronología de la violación, invocar los fundamentos jurídicos correctos y explotar la complementariedad RGPD-DSA transforma una postura defensiva en una palanca de acción real contra los organismos incumplidores.
