Si una filtración de datos afecta tus derechos, la empresa debe avisarte en 48 horas, en lenguaje sencillo, y decirte qué hizo para reducir el daño. Puedes pedirle qué datos tuyos se afectaron y denunciarla ante la Autoridad Nacional de Protección de Datos Personales.
01Qué debe hacer la empresa
- Avisarte en 48 horas. Si el incidente afecta otros derechos tuyos, en lenguaje sencillo y con las medidas que adoptó.Reglamento, art. 34.3
- Avisar a la Autoridad en 48 horas. Si hay grandes volúmenes de datos, muchas personas afectadas, datos sensibles o un perjuicio evidente.Reglamento, art. 34.1
- Documentar el incidente. Los hechos, sus efectos y las medidas adoptadas.Reglamento, art. 35
Si el incidente no te afectó y fue superado por completo con las medidas adoptadas, la empresa no está obligada a avisarte (Reglamento, art. 34.4).
02Qué puedes hacer tú
- Protégete primero. Cambia tus contraseñas, activa la verificación en dos pasos y desconfía de mensajes que usen tus datos para pedirte dinero o claves.
- Pide información. Usa tu derecho de acceso para saber qué datos tuyos tienen y a quién los pasaron (Ley 29733, art. 19; Reglamento, art. 75). Puedes usar el modelo de abajo.
- Pide que los borren o dejen de usarlos. Con la guía Haz que borren tus datos.
- Denuncia. Ante la Autoridad Nacional de Protección de Datos Personales, para que fiscalice (Reglamento, art. 100).
03Modelo de solicitud para copiar
Asunto: Solicitud de información sobre el incidente de seguridad que afectó mis datos personales Señores [nombre de la empresa o entidad]: Yo, [nombre y apellido], identificado(a) con [DNI u otro documento] N.º [número], cuya copia adjunto, tomé conocimiento de que [describe brevemente lo que sabes: un correo, una noticia, un aviso de la empresa] sobre un incidente de seguridad que podría haber afectado mis datos personales. En ejercicio de mi derecho de acceso (artículo 19 de la Ley N.º 29733 y artículo 75 de su Reglamento, D.S. N.º 016-2024-JUS), les pido que me informen: 1. Qué datos personales míos tratan y cuáles fueron afectados por el incidente. 2. A quiénes han transferido mis datos. 3. Qué medidas adoptaron para mitigar sus efectos, conforme al artículo 34.3 del Reglamento. Les recuerdo que, cuando un incidente afecta otros derechos del titular, deben comunicárselo dentro de las 48 horas, en lenguaje sencillo, con las medidas adoptadas (artículo 34.3 del Reglamento). Domicilio o correo para notificaciones: [dirección o correo] [Ciudad], [fecha] [Firma] [Nombre]
Modelo referencial elaborado por SIZIGIA Consultores. Adáptalo a tu caso. No constituye asesoría legal para un caso concreto.
04Preguntas frecuentes
¿Una empresa debe avisarme si filtraron mis datos?
Sí, cuando el incidente afecta otros derechos tuyos: debe comunicártelo dentro de las 48 horas, en lenguaje sencillo, con las medidas que adoptó (Reglamento, art. 34.3). No está obligada si el incidente no produjo esa afectación y fue superado por completo (art. 34.4).
¿La empresa tiene que avisar a la Autoridad?
Sí, en un máximo de 48 horas, cuando el incidente expone grandes volúmenes de datos, puede afectar a muchas personas, involucra datos sensibles o causa un perjuicio evidente a otros derechos (Reglamento, art. 34.1). Debe documentar todo incidente (Reglamento, art. 35).
¿Puedo denunciar a una empresa que filtró mis datos?
Sí. Puedes presentar una denuncia ante la Autoridad Nacional de Protección de Datos Personales para que fiscalice (Reglamento, art. 100), y una reclamación si además te negaron un derecho (Ley 29733, art. 24). Exponer datos por no cumplir las medidas de seguridad es infracción grave o, con datos sensibles, muy grave (Reglamento, art. 133.4 y 134.4).