Por José Francisco Iturrizaga, socio de Deloitte Legal
En la era digital actual, los ciberataques son una realidad constante. El ciberataque y, específicamente, el ransomware (al que se hace referencia en el presente articulo), en términos sencillos, implica el robo o secuestro de cierta información digital valiosa, seguido de un chantaje o extorsión por parte del delincuente, quien exige un rescate a cambio de liberar información comprometida.
Estos ataques representan una amenaza constante para empresas de todos los tamaños y sectores, ya que ponen en riesgo la continuidad del negocio.
Según Welivesecurity, Perú se encuentra en el top 20 de países más afectados por ciberataques en el mundo y ocupa el primer lugar en America Latina (seguido de México, Ecuador, Brasil y Argentina). Con más de 100,000 ataques al día, las cifras son alarmantes y la necesidad de tomar consciencia acerca de la implementación de medidas de protección es más que una obligación.
Para entender mejor el tema, los invito a hacer el siguiente ejercicio.
Imaginemos que usted es el administrador de una empresa dedicada a exámenes de laboratorio de análisis clínico y recibe un mensaje de Whatsapp de un número desconocido indicándole que los archivos en los que guarda los resultados de los análisis realizados han sido secuestrados y que solo los podrá recuperar si paga US$1´000,000. El delincuente le ha proporcionado una cuenta digital en donde usted deberá depositar el monto solicitado en criptomonedas. Tras confirmar que no tiene acceso a esa información confidencial y, luego de varios intercambios de mensajes con el delincuente, es momento de evaluar que acciones tomar.
Escenarios de reacción frente a ciberataques
Frente a esa situación, usted tiene diferentes alternativas: una peor que la otra.
Escenario 1: no pagar la suma solicitada, denunciar el hecho y apelar a que las autoridades competentes capturen al ciberdelincuente y recuperen la información secuestrada. Sin duda, este es el escenario ideal. Lamentablemente, el factor tiempo, la ubicación del ciberdelincuente (que, inclusive, podría estar en aguas internacionales) y los recursos de las autoridades competentes pueden dificultar el éxito de este escenario.
Escenario 2: pagar la suma solicitada y recuperar la información secuestrada. En este caso, no solo estaría perdiendo US$1´000,000, sino que también estaría confiando en la honestidad del delincuente (vaya contradicción). Como si eso no fuera poco, en el supuesto en que el honesto delincuente cumpla con su palabra y le devuelva la información robada, usted estaría financiando actividades delictivas. Mas allá de las garantías que le puedan proporcionar, confiar en la honestidad del delincuente y financiar actividades criminales, complican la elección de este escenario.
Escenario 3: no hacer nada y dar por perdida la información sustraída. Cómo no decir “que se ha creído ese delincuente, no se va a salir con la suya”. Lamentablemente, optar por este escenario no es tan sencillo pues afecta la reputación de su negocio y puede llevarlo, incluso, a la quiebra. Cabe preguntarnos, ¿qué cliente volverá a confiar en su empresa sabiendo que sus análisis clínicos (con la sensibilidad que ello puede significar) pueden caer en manos de delincuentes?
En cualquiera de estas circunstancias, usted no solo perdería dinero, tiempo y reputación, sino que, también puede enfrentarse a pagar indemnizaciones civiles y multas administrativas.
Dicho de otro modo, la situación es peor aún.
Responsabilidades civiles y administrativas
Dejando de lado el tema penal, un ciberataque puede gatillar responsabilidad legal en materia civil y administrativa para la entidad atacada. Sí, la víctima, en este caso, puede ser civil y administrativamente responsable de ciertas infracciones.
Debe saber que, en el ejemplo antes descrito (y que aplica a todos los negocios), sus clientes le confiaron su información personal para que usted la proteja como si estuvieran en la caja fuerte de una empresa del sistema financiero.
Así, en lo que respecta al tema civil, dependiendo de la tipología de datos robados y el uso que terceros no autorizados puedan hacer sobre los mismos, existe la posibilidad de que el afectado (el titular de los datos robados) interponga una demanda por la vía civil, en la medida en que hayan sido vulnerados sus derechos fundamentales tales como la intimidad, la imagen o el honor, al igual que solicitar una reclamación de indemnización por daños y perjuicios. En ese caso, usted deberá pagar a cada uno de los afectados reclamantes la suma que los jueces determinen resarcirá el daño causado. Imagínese esa cifra y multiplíquela por el número de clientes que su laboratorio pueda tener para hacerse una idea de cuanto tendría que pagar.
Respecto al tema administrativo, su empresa, al tratar los datos personales de sus clientes, está sometida a la Ley de Protección de Datos Personales (Ley Nro. 29733). Dicha norma establece obligaciones para todas las personas que traten datos personales de otros. Así, sí usted no cumplió con lo establecido por la normativa aplicable, podría tener una multa de hasta S/535,000; sin perjuicio de medidas correctivas adicionales y demás.
De igual forma, respecto de aquellos clientes a los que tenía pendiente enviarle sus resultados y que no pudo hacerlo porque no tenía acceso a ellos, su empresa no habría brindado un servicio idóneo y habría vulnerado las normas de protección al consumidor. En ese caso, de acuerdo con el Código de Protección y Defensa del Consumidor (Ley Nro. 29571), el Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual – INDECOPI – podría ponerle una multa de hasta S/2´407,500; sin perjuicio de medidas correctivas adicionales y demás.
En conclusión, no solo le robaron, lo extorsionaron y dañaron su reputación, sino que, además, debe pagar indemnizaciones, multas y cumplir con medidas correctivas.
Afortunadamente, hay luz al final del túnel: la prevención.
Importancia de una cultura de prevención
Afortunadamente, se está avanzando en el tema preventivo. En efecto, los modelos de seguridad desempeñan un papel fundamental en la mitigación de responsabilidades derivadas de ciberataques, al proporcionar marcos estructurados para la protección y el manejo de información sensible. En línea con ello, las normas en la materia se han actualizado y el 30 de marzo de 2025 entrará en vigencia el nuevo Reglamento de la Ley de Protección de Datos Personales (Decreto Supremo Nro. 016-2024-JUS), el cual introduce medidas de seguridad diseñadas para fortalecer la defensa contra este tipo de amenazas y promover una cultura de precaución.
Entre ellas se incluye parámetros de seguridad para el tratamiento de datos a través de medios digitales, brindando una serie de pautas respecto al control de acceso y gestión de los mismos. Además, con el fin de proteger datos contra ataques maliciosos, accidentes o incluso desastres naturales, se establecen controles para mantener las áreas seguras, al igual que mantener los equipos dentro y fuera de las instalaciones. Por otro lado, se especifican pautas para el almacenamiento de documentación automatizada y no automatizadas, y se disponen los medios idóneos para realizar una adecuada transferencia de datos personales de manera segura, entre otras disposiciones.
Asimismo, se prevé la implementación de códigos de conducta, los cuales deben incluir los procedimientos adoptados para el tratamiento de datos, identificar posibles vulnerabilidades para disponer de planes de respuesta ante amenazas y valorar el nivel de protección de una empresa.
También, se configura como atenuante de responsabilidad la implementación de un informe de evaluación de impacto del tratamiento de datos personales, el cual consiste en que, usted, en su calidad de titular del banco o responsable del tratamiento, realice de forma previa un análisis o evaluación del impacto o riesgos que implica el tratamiento de datos personales.
De igual forma, se refuerza la capacitación y concientización de los colaboradores de una empresa, pues constituye un componente esencial del modelo de ciberseguridad. Esto fortalece la capacidad de identificar y responder ante peligros, reduciendo así los riesgos de incidentes.
Y cuando anteriormente indiqué que usted es una suerte de caja fuerte de banco, no exageré. Con el nuevo Reglamento, usted deberá designar un Oficial de Datos Personales (una persona encargada específicamente de este tema) y estará obligado a reportar cualquier incidente de seguridad (como, por ejemplo, el descrito en el presente articulo), no solo a la autoridad administrativa, sino también al titular de los datos personales afectados.
Finalmente, la ciberseguridad no es solo un reto tecnológico, sino un deber que merece urgencia. Como si lo anterior no fuera poco, este tema es, además, una obligación legal. La creciente ola de ataques en el Perú y el mundo demuestra que las organizaciones que no adopten medidas proactivas (inclusive por encima de las establecidas por las leyes aplicables) estarán expuestas a consecuencias graves, pudiendo llegar, inclusive, a la quiebra del negocio. Afortunadamente, la implementación de las nuevas obligaciones en materia de protección de datos personales representa un avance significativo en la lucha contra los ciberataques y la mitigación de responsabilidades asociadas. Al mismo tiempo, impulsa la salida más efectiva para este problema: la prevención.
• Este texto fue elaborado en colaboración con Valeria Rosell, abogada de Deloitte Legal.
