Por Tom Meevis, abogado en Law & More
Los ciberataques, como el ransomware, el phishing, los ataques DDoS y la intrusión informática, rara vez afectan únicamente a la organización atacada. Entre las víctimas de los ciberataques también se encuentran clientes, empleados, pacientes, proveedores y otros socios de la cadena de suministro que pueden sufrir pérdidas, y su situación legal varía según el grupo. Por lo tanto, quien desee determinar, tras un ataque, qué obligaciones se aplican y qué reclamaciones existen, debería primero identificar con exactitud a quiénes se ha visto afectado y qué daños se han producido.
Este artículo aborda, sucesivamente, quiénes califican como víctimas, cuándo se debe notificar una violación de datos, bajo qué condiciones existe el derecho a una indemnización, qué partes pueden ser responsables, qué papel juega el derecho penal, qué cubre normalmente una póliza de seguro cibernético y qué medidas deben tomarse inmediatamente después de un ataque.
¿Quiénes son las víctimas de los ciberataques?
En un ciberataque se pueden distinguir tres grupos.
- La propia organización afectada se enfrenta a tiempos de inactividad del sistema, pérdida de facturación, costes de recuperación, costes de investigación forense y daños a su reputación.
- Personas físicas cuyos datos personales han sido expuestos, como clientes, empleados y pacientes. Pueden sufrir pérdidas económicas, pero también daños patrimoniales por la pérdida de control sobre sus datos, la incertidumbre o el temor al fraude de identidad.
- Terceros afectados a través de una relación contractual o de la cadena de suministro, por ejemplo, porque dependen de un proveedor cuyos sistemas han fallado.
Esta clasificación tiene relevancia jurídica. El fundamento de cualquier reclamación, y la parte contra la que se puede interponer, dependen de la situación de la víctima. Una organización afectada generalmente exigirá responsabilidades a su proveedor de TI en virtud del contrato, mientras que un interesado puede ampararse directamente en el fundamento independiente de responsabilidad que establece el RGPD.
¿Cuándo debe notificarse una violación de datos?
Cuando los datos personales se ven afectados por un ciberataque, es necesario evaluar si se ha producido una violación de datos personales y si la notificación es obligatoria. El artículo 33 del RGPD exige que la violación se notifique a la autoridad de control sin dilación indebida y, cuando sea posible, en un plazo de setenta y dos horas, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas físicas.
Además, el artículo 34 del RGPD puede exigir que la organización informe a los propios interesados. Esta obligación surge cuando es probable que la violación de seguridad suponga un alto riesgo para sus derechos y libertades. La comunicación puede omitirse cuando se hayan implementado medidas técnicas adecuadas, como el cifrado, cuando las medidas posteriores garanticen que el alto riesgo ya no se materializará, o cuando la comunicación individual suponga un esfuerzo desproporcionado; en este último caso, basta con una comunicación pública.
Para el titular de los datos, esa comunicación es más que una formalidad. Le permite tomar sus propias medidas, por ejemplo, cambiando contraseñas o vigilando transacciones sospechosas, y en la práctica suele ser el punto de partida de cualquier reclamación de indemnización.
Por lo tanto, una organización debe determinar no solo que se ha producido un ataque, sino también qué datos se vieron afectados, si efectivamente se filtraron datos y qué riesgos se derivan de ello. Para ello, suele ser indispensable una investigación forense independiente.
Esto cobra aún más relevancia cuando el ataque se produce en un procesador y no en la propia organización. En el procedimiento sumario entre Blauw Research y Nebu (Tribunal de Distrito de Rotterdam, 6 de abril de 2023, ECLI:NL:RBROT:2023:2931), el juez de medidas cautelares dictaminó que, en virtud del acuerdo de procesamiento de datos suscrito entre las partes, el responsable del tratamiento tenía derecho a recibir más información sobre el ataque, sus consecuencias y las medidas adoptadas de la que se le había facilitado inicialmente. Asimismo, se ordenó al procesador que realizara una investigación forense independiente y que presentara informes periódicos. La sentencia demuestra que un acuerdo de procesamiento de datos bien redactado es, en la práctica, el instrumento más importante para obtener información a tiempo tras un incidente, precisamente porque el responsable del tratamiento necesita dicha información para cumplir con sus propias obligaciones de notificación.
¿Cuándo surge el derecho a una indemnización?
Los interesados pueden reclamar una indemnización al responsable del tratamiento o al encargado del tratamiento en virtud del artículo 82 del RGPD. Sin embargo, un ciberataque no da lugar automáticamente a una reclamación. Debe estar debidamente justificado:
- que se ha infringido el RGPD;
- que el daño realmente se ha sufrido; y
- que existe un vínculo causal entre esa infracción y ese daño.
Los daños materiales pueden consistir en pérdidas financieras, costes de recuperación o pérdidas ocasionadas por fraude de identidad. En cuanto a los daños inmateriales, el Tribunal de Justicia de la Unión Europea dictaminó en el asunto Österreichische Post (TJUE, 4 de mayo de 2023, C-300/21) que no existe un umbral mínimo de gravedad, pero que la mera infracción del RGPD no es suficiente para la concesión de una indemnización.
De particular relevancia para las filtraciones de datos tras un ciberataque es la sentencia Natsionalna agentsia za prihodite (TJUE, 14 de diciembre de 2023, C-340/21). En ella, el Tribunal sostuvo que el temor a un posible uso indebido futuro de los datos personales filtrados puede constituir, por sí mismo, un daño inmaterial. No obstante, el interesado debe fundamentar dicho temor y sus consecuencias de forma concreta; no basta con señalar que se han filtrado datos. En la misma sentencia, el Tribunal confirmó que corresponde al responsable del tratamiento demostrar que las medidas de seguridad adoptadas eran adecuadas y que un ataque de un tercero no lo exime de responsabilidad.
La responsabilidad civil prevista en el RGPD coexiste con los fundamentos jurídicos civiles del incumplimiento de contrato y la responsabilidad extracontractual. Según el artículo 6:162(1) del Código Civil neerlandés, quien comete un acto ilícito imputable debe indemnizar los daños causados. Se aplica el principio de relatividad del artículo 6:163: la norma infringida debe proteger contra el tipo de daño sufrido por la parte perjudicada.
Es importante destacar que el artículo 82 del RGPD coexiste con estos fundamentos. Por lo tanto, el interesado no está obligado a basar su reclamación únicamente en el incumplimiento de contrato o en un acto ilícito, sino que puede recurrir directamente al fundamento independiente de responsabilidad que establece el RGPD. Para la organización afectada, esta combinación de fundamentos implica que varias partes pueden interponer reclamaciones simultáneamente tras un ataque.
¿Quién puede ser responsable?
La organización afectada puede ser responsable si incumple sus obligaciones contractuales o si no ha adoptado medidas de seguridad suficientes. Un proveedor de servicios informáticos o un procesador de datos también pueden ser considerados responsables. Lo que se espera de dicho proveedor de servicios se determina, ante todo, por el contrato.
En una relación de tratamiento de datos, el acuerdo de tratamiento de datos desempeña un papel fundamental. El artículo 28 del RGPD exige que el responsable del tratamiento y el encargado del tratamiento celebren dicho acuerdo, que regula, entre otras cosas, las medidas de seguridad y la gestión de las violaciones de datos. Si el ataque se debe a una seguridad insuficiente por parte del encargado del tratamiento, el responsable del tratamiento puede exigirle responsabilidades, en virtud de dicho acuerdo, por las pérdidas resultantes.
Esto se desprende claramente del caso relativo al ciberataque contra el municipio de Hof van Twente (Tribunal de Distrito de Overijssel, 10 de mayo de 2023, ECLI:NL:RBOVE:2023:1731). Las partes habían acordado la monitorización funcional, no la de seguridad. El tribunal dictaminó que el deber de diligencia de un administrador de TI no se extiende hasta el punto de que la monitorización de seguridad forme parte tácita de la monitorización funcional, y desestimó la demanda del municipio. Asimismo, consideró que el propio municipio había tomado decisiones que aumentaban el riesgo, como su política de contraseñas y la apertura de un puerto RDP.
La imagen especular es el caso O'Cliance (Tribunal de Distrito de Amsterdam(14 de noviembre de 2018, ECLI:NL:RBAMS:2018:10124). Allí, el proveedor había instalado una infraestructura informática completa y se había hecho cargo de su gestión. Tras un ataque de ransomware en el que también se cifraron las copias de seguridad, el tribunal dictaminó que el suministro de un paquete tan completo conllevaba un amplio deber de diligencia y que se habían omitido medidas básicas. Sin embargo, la responsabilidad no se concedió en su totalidad: debido a la culpa concurrente del cliente, dos tercios de los daños quedaron a cargo del proveedor.
El peso que puede tener la carga de la prueba en materia de seguridad queda ilustrado por el caso de la cuenta de correo electrónico pirateada de un concesionario de automóviles. En la sentencia provisional del 5 de noviembre de 2024 (Tribunal de Apelación de Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), se le concedió al concesionario la oportunidad de demostrar que su cuenta de correo electrónico contaba con la seguridad adecuada, de conformidad con el RGPD, después de que un pirata informático la utilizara para enviar una instrucción de pago falsa a un comprador. En la sentencia definitiva del 22 de julio de 2025 (ECLI:NL:GHARL:2025:4556), el tribunal dictaminó que no se había presentado dicha prueba, tras lo cual las partes aún debían abordar la responsabilidad concurrente del comprador. Ambas sentencias, por lo tanto, se refieren al mismo procedimiento.
El denominador común es que los acuerdos contractuales, los riesgos del tratamiento de datos, las medidas adoptadas, las advertencias de ambas partes y la conducta de la parte perjudicada son factores relevantes. Además de la responsabilidad civil, la Autoridad Neerlandesa de Protección de Datos puede imponer multas administrativas de hasta 20 millones de euros o el 4 % de la facturación anual mundial, la cantidad que sea mayor. Estas multas son independientes de si los interesados sufrieron daños.
La vía del derecho penal
Un ciberataque también puede constituir un delito, como la intrusión informática, la imposibilidad de acceder a datos o la apropiación indebida de datos no públicos. El artículo 138ab(1) del Código Penal neerlandés tipifica como delito el acceso intencional e ilícito a un sistema automatizado.
Las víctimas pueden denunciar el delito a la policía, que cuenta con equipos especializados en ciberdelincuencia. Si se procesa a un sospechoso, la víctima puede sumarse al proceso penal como parte perjudicada y reclamar una indemnización. Esta vía evita un proceso civil independiente, pero el resultado depende de la detección, el enjuiciamiento y las pruebas, que con delincuentes que operan internacionalmente a menudo resultan infructuosas. Para las organizaciones, la denuncia también suele ser una necesidad práctica, ya que las aseguradoras y los socios de la cadena de suministro lo solicitan.
¿Qué cubre el seguro cibernético?
Una póliza de seguro cibernético puede ofrecer cobertura para, entre otras cosas:
- respuesta a incidentes e investigación forense;
- restauración de sistemas y datos;
- pérdidas por interrupción de la actividad comercial y disminución de la facturación;
- comunicación de crisis;
- responsabilidad frente a terceros;
- costos legales; y
- En algunos casos, multas, pagos de indemnización o rescates, en la medida en que sean asegurables según la ley aplicable.
La cobertura exacta depende de la póliza. Preste atención a las exclusiones, las condiciones de seguridad, los plazos de notificación, las franquicias y los requisitos para la contratación de peritos. El artículo 7:957(1) del Código Civil neerlandés obliga al asegurado a adoptar medidas razonables para prevenir o limitar las pérdidas. En caso de incumplimiento de esta obligación de salvamento, la aseguradora podrá reducir la indemnización.
Por lo tanto, se debe informar a la aseguradora cibernética lo antes posible. Contratar expertos externos o pagar un rescate sin el consentimiento de la aseguradora puede afectar la cobertura.
¿Qué debes hacer inmediatamente después de un ciberataque?
- Registre el incidente y todas las acciones pertinentes con detalle.
- Aislar los sistemas afectados sin perder evidencia.
- Contrate a un experto forense.
- Evaluar si existe una violación de datos que deba notificarse.
- Evaluar si es necesario informar a los interesados.
- Denuncie el delito a la policía.
- Notifique el incidente a su aseguradora cibernética.
- Conserve los registros, las copias de seguridad, los correos electrónicos y otros datos relevantes.
- Mapear los daños y las partes potencialmente responsables.
- Informe a los clientes, empleados y socios de la cadena de suministro con cuidado y con suficiente antelación.
Un ciberataque no es, por lo tanto, un mero incidente técnico. También implica cuestiones de protección de datos, derecho civil, derecho penal y derecho de seguros. Una respuesta rápida y bien documentada no solo limita los daños, sino que resulta decisiva para las notificaciones, la cobertura del seguro y su posición probatoria en cualquier procedimiento judicial.
Para concluir
Los derechos y obligaciones derivados de un ciberataque abarcan diversas ramas del derecho, y el resultado de un caso depende en gran medida de los hechos específicos, el contenido del contrato y la calidad de la documentación. La jurisprudencia analizada demuestra que tanto el proveedor como el cliente son juzgados por su propia conducta, y que plazos como el de notificación de setenta y dos horas no dejan margen para demoras.
Law & More Ayudamos a organizaciones y titulares de datos con la gestión legal de incidentes cibernéticos: desde la evaluación de las obligaciones de notificación y la revisión de los acuerdos de procesamiento de datos hasta el establecimiento de responsabilidades, cuestiones de seguros y recuperación de pérdidas. ¿Está lidiando con un ciberataque o una violación de datos, o le gustaría que sus contratos fueran revisados con anticipación frente a estos riesgos por nuestros expertos? Ley de TI ¿Equipo? Por favor, no dude en conmigo Law & More para una conversación sin compromiso sobre su situación.
Preguntas frecuentes
A continuación respondemos a las preguntas que nos hacen con más frecuencia sobre este tema.
¿Quiénes son las víctimas de un ciberataque?
Existen tres niveles. En primer lugar, la propia organización afectada, que asume las pérdidas por interrupción del servicio, la disminución de la facturación, los costes de recuperación, los gastos de investigación forense y el daño a su reputación. En segundo lugar, los interesados, las personas físicas cuyos datos personales han sido expuestos, como clientes, empleados y pacientes. En tercer lugar, los terceros que sufren pérdidas derivadas de una relación contractual o de la cadena de suministro, por ejemplo, por depender de un proveedor que ha cesado sus operaciones. Esta clasificación determina sobre qué base puede una parte interponer una reclamación y contra quién.
¿En qué plazo debo notificar una violación de datos?
El artículo 33 del RGPD exige la notificación a la autoridad de control sin dilación indebida y, cuando sea posible, en un plazo de setenta y dos horas desde que se tenga conocimiento de la violación de seguridad. Esta obligación no se aplica cuando es improbable que la violación suponga un riesgo para los derechos y libertades de las personas físicas. Dicha evaluación requiere un análisis de la naturaleza de la violación, las categorías de datos afectados y las posibles consecuencias.
¿Cuándo debo informar a los propios interesados?
Según el artículo 34 del RGPD, cuando la violación de datos pueda suponer un alto riesgo para los derechos y libertades de los interesados, se podrá omitir la comunicación si se han implementado medidas técnicas adecuadas, como el cifrado, si las medidas posteriores garantizan que dicho riesgo ya no se materializará o si la comunicación individual implica un esfuerzo desproporcionado. En este último caso, basta con una comunicación pública.
¿Puedo obligar a un proveedor a proporcionar información si su vehículo ha sido pirateado?
Sí, siempre que así lo estipule el acuerdo de tratamiento de datos. En el procedimiento sumario entre Blauw Research y Nebu (Tribunal de Distrito de Rotterdam, 6 de abril de 2023, ECLI:NL:RBROT:2023:2931), el juez de instrucción dictaminó que, en virtud del acuerdo de tratamiento de datos, el responsable del tratamiento tenía derecho a más información sobre el ataque, sus consecuencias y las medidas adoptadas de la que se le había proporcionado, y ordenó al encargado del tratamiento que realizara una investigación forense independiente y que presentara informes periódicos. Dicha información es necesaria para que usted cumpla con sus propias obligaciones de notificación.
Como titular de los datos, ¿tengo derecho automáticamente a una indemnización tras una violación de datos?
No. El artículo 82 del RGPD constituye un fundamento independiente, pero es necesario demostrar que se ha infringido el RGPD, que se ha sufrido un daño real y que existe un vínculo causal entre la infracción y dicho daño. La carga de la prueba recae sobre el demandante.
¿El temor al fraude de identidad puede considerarse un daño no material?
Es posible. En el caso Natsionalna agentsia za prihodite (TJUE, 14 de diciembre de 2023, C-340/21), el Tribunal de Justicia dictaminó que el temor a un posible uso indebido futuro de los datos personales filtrados puede constituir, por sí mismo, un daño inmaterial. Sin embargo, el interesado debe fundamentar dicho temor y sus consecuencias de forma concreta. El caso Österreichische Post (TJUE, 4 de mayo de 2023, C-300/21) añade que no existe un umbral mínimo de gravedad, pero que una mera infracción del RGPD no es suficiente.
¿Quién tiene que demostrar que las medidas de seguridad eran adecuadas?
El responsable del tratamiento. En el caso C-340/21, el Tribunal de Justicia confirmó que corresponde al responsable del tratamiento demostrar que las medidas de seguridad adoptadas eran adecuadas y que un ataque de un tercero no lo exime de responsabilidad. En los Países Bajos, esto se aplicó en el caso de la cuenta de correo electrónico pirateada de un concesionario de automóviles, donde el Tribunal de Apelación de Arnhem-Leeuwarden primero le dio al concesionario la oportunidad de aportar dicha prueba (ECLI:NL:GHARL:2024:6812) y luego dictaminó que no la había aportado (ECLI:NL:GHARL:2025:4556).
¿Es responsable mi proveedor de servicios informáticos si no detectó un ataque?
Eso depende de lo que se haya acordado. En el caso relativo al ciberataque al municipio de Hof van Twente (Tribunal de Distrito de Overijssel, 10 de mayo de 2023, ECLI:NL:RBOVE:2023:1731), las partes habían acordado la monitorización funcional, no la monitorización de seguridad. El tribunal sostuvo que el deber de diligencia de un administrador de TI no se extiende hasta el punto de que la monitorización de seguridad forme parte tácita del mismo, y desestimó la demanda. Cuando se proporciona un paquete total más amplio, el deber de diligencia puede ser, en cambio, de gran alcance, como en O'Cliance (Tribunal de Distrito de Amsterdam, 14 de noviembre de 2018, ECLI:NL:RBAMS:2018:10124), donde el proveedor fue considerado responsable de dos tercios de la pérdida.
¿Puede mi propia conducta reducir la indemnización?
Sí. La culpa concurrente desempeña un papel recurrente en estos casos. En el caso de O'Cliance, un tercio de la pérdida quedó a cargo de la cuenta del cliente, y en el caso de la cuenta de correo electrónico pirateada, las partes tuvieron que abordar la culpa concurrente del comprador. Por lo tanto, su propia política de contraseñas, los puertos que deje abiertos o las advertencias ignoradas pueden influir directamente en el resultado.
¿Qué multas puede imponer la autoridad de protección de datos?
Por infracciones del RGPD, la autoridad de control puede imponer multas administrativas de hasta 20 millones de euros o el 4 % de la facturación anual mundial, la cantidad que sea mayor. Estas multas son independientes de si los interesados han sufrido daños reales y, por lo tanto, representan un riesgo distinto al de la responsabilidad civil.
¿Puedo denunciar el delito y reclamar mi indemnización a través del proceso penal?
Sí. El artículo 138ab(1) del Código Penal neerlandés tipifica como delito el acceso intencional e ilícito a un sistema automatizado. Puede denunciar el delito a la policía y, si se procesa a un sospechoso, unirse al proceso penal como parte perjudicada para reclamar una indemnización. El resultado depende de la detección, el enjuiciamiento y las pruebas, que con delincuentes que operan internacionalmente a menudo resultan infructuosas.
¿Qué suele cubrir el seguro cibernético?
Generalmente, la cobertura incluye respuesta a incidentes e investigación forense, restauración de sistemas y datos, pérdidas por interrupción de la actividad comercial y disminución de la facturación, comunicación en situaciones de crisis, responsabilidad civil frente a terceros y gastos legales, y en algunos casos, multas, indemnizaciones o rescates, hasta donde lo permita la legislación aplicable. Preste atención a las exclusiones, las condiciones de seguridad, los plazos de notificación y las franquicias, y revise la póliza antes de que ocurra un incidente.
¿Puedo perder mi cobertura si actúo incorrectamente después de un ataque?
Es posible. El artículo 7:957(1) del Código Civil neerlandés obliga al asegurado a tomar medidas razonables para prevenir o limitar las pérdidas; si no se cumple con esta obligación de salvamento, la aseguradora puede reducir la indemnización. Contratar peritos externos o pagar un rescate sin el consentimiento de la aseguradora también puede afectar la cobertura. Informe a su aseguradora lo antes posible.
¿Qué pasos debo seguir inmediatamente después de un ciberataque?
Registre el incidente y todas las acciones tomadas, aísle los sistemas afectados sin perder evidencia y contrate a un experto forense. Luego, evalúe si se trata de una violación de datos que deba notificarse y si es necesario informar a los interesados. Denuncie el incidente, notifique a su aseguradora cibernética, conserve los registros, las copias de seguridad y la correspondencia, identifique los daños y a las partes potencialmente responsables, e informe a los clientes, empleados y socios de la cadena de suministro de manera cuidadosa y oportuna.
