Cómo proteger los datos de tus clientes (y por qué es tu responsabilidad)

Una empresa de retail online en Santiago sufrió una filtración de datos en 2023. No fue un hackeo sofisticado ni un ataque coordinado. Un empleado que se desvinculó de la empresa se llevó consigo una planilla de Excel con los datos de 4.200 clientes: nombres, correos, RUTs y direcciones de despacho. Esa planilla terminó circulando en grupos de WhatsApp del rubro. La empresa no tenía política de acceso a datos, no controlaba quién descargaba qué información ni había firmado cláusulas de confidencialidad actualizadas con su equipo.

Lo que siguió fueron tres meses de crisis: clientes indignados, una denuncia ante el SERNAC, cobertura negativa en redes sociales y la pérdida de dos contratos B2B importantes cuyos responsables decidieron que no podían arriesgarse a estar asociados a una empresa con ese historial. Todo por una planilla de Excel sin controles.

Qué datos tienen las pymes sin saberlo

El primer error que cometen las pymes al pensar en protección de datos es subestimar la cantidad de información sensible que manejan. No necesitas ser un banco ni una clínica para tener datos que merecen protección. Una pyme promedio acumula datos personales en docenas de lugares simultáneamente:

• →Correos electrónicos y chats: el historial de conversaciones con clientes contiene nombres, necesidades, problemas personales compartidos en contexto de negocio y a veces información financiera. Esto vive en la bandeja de entrada de cada empleado, sin cifrar y sin control de acceso diferenciado.
• →RUTs en facturas y cotizaciones: cada documento tributario emitido contiene el RUT del cliente. Si tu sistema de facturación o tus archivos PDF no están protegidos, esa información está expuesta. En Chile, el RUT es un identificador único que permite acceder a servicios financieros y trámites sensibles.
• →Historial de compras y comportamiento: qué compró, cuándo, con qué frecuencia y a qué valor. Esta información tiene valor comercial y, en manos equivocadas, puede usarse para estafas dirigidas o para competencia desleal.
• →Datos de empleados y proveedores: liquidaciones de sueldo, contratos, datos bancarios, fichas médicas de prevención de riesgos. Muchas pymes no distinguen entre los datos de clientes y los datos de sus propios trabajadores al momento de aplicar controles.

Las consecuencias de una filtración

Hay tres dimensiones de daño que una filtración de datos puede causar, y las tres son reales incluso para una pyme pequeña.

• →Consecuencias legales: la Ley 19.628 vigente en Chile establece obligaciones sobre el tratamiento de datos personales. Su reforma a través de la Ley 21.719 (en implementación progresiva) aumenta significativamente las sanciones y amplía los derechos de los titulares de datos. Una empresa que no puede demostrar que tomó medidas razonables de protección está expuesta a multas y demandas civiles.
• →Consecuencias reputacionales: en Chile, las redes sociales amplifican este tipo de incidentes con una velocidad que las pymes suelen subestimar. Un cliente afectado que publica su experiencia puede llegar a miles de personas en horas. La confianza que una empresa tarda años en construir puede erosionarse en días.
• →Consecuencias financieras: más allá de las multas, el costo financiero incluye el tiempo del equipo dedicado a gestionar la crisis, posibles indemnizaciones, pérdida de clientes que deciden no renovar contratos y el costo de implementar medidas correctivas de emergencia que siempre salen más caras que las preventivas.

Las 5 medidas básicas de protección

No se necesita un equipo de seguridad informática para implementar una protección razonable. Estas cinco medidas cubren la mayoría de los vectores de riesgo para una pyme y pueden implementarse sin grandes inversiones.

• →Autenticación de doble factor en todos los accesos críticos: correo corporativo, CRM, sistema de facturación, plataformas en la nube. Esta medida sola previene más del 90% de los accesos no autorizados por robo de contraseñas, según estadísticas de Microsoft y Google.
• →Control de acceso basado en roles: no todos los empleados necesitan acceder a toda la información. El vendedor necesita ver las cotizaciones activas, no el historial financiero completo de todos los clientes. Configurar perfiles de acceso diferenciados es una tarea de pocas horas en la mayoría de los sistemas.
• →Política de dispositivos y cifrado: los computadores y teléfonos del equipo deben tener el disco cifrado (FileVault en Mac, BitLocker en Windows). Si un dispositivo se pierde o roba, los datos no son accesibles sin la contraseña. Esta función viene incluida en todos los sistemas operativos modernos y tarda menos de un minuto en activarse.
• →Proceso de offboarding seguro: cuando un empleado deja la empresa, deben revocarse todos sus accesos el mismo día de su salida. Correo corporativo, sistemas internos, cuentas compartidas, carpetas en la nube. En muchas pymes esto se hace semanas después o no se hace. Ese período es de alta vulnerabilidad.
• →Inventario de datos y cláusulas contractuales actualizadas: saber qué datos tienes, dónde están y quién tiene acceso. Y que todos los contratos con empleados, proveedores y subcontratistas incluyan cláusulas de confidencialidad y protección de datos actualizadas a la legislación vigente.

El principio de mínimo acceso: menos es más seguro

El principio de mínimo acceso (o “least privilege” en seguridad informática) establece que cada persona debe tener acceso únicamente a la información que necesita para hacer su trabajo y nada más. Parece obvio, pero la realidad en la mayoría de las pymes es lo opuesto: las credenciales de administrador se comparten entre varios, las carpetas de clientes están abiertas a todo el equipo y las contraseñas de sistemas críticos son conocidas por personas que llevan años sin usar esos sistemas.

Implementar este principio no requiere tecnología sofisticada. Requiere una revisión de quién accede a qué, eliminar accesos históricos que ya no corresponden y documentar quién debe tener acceso a qué sistema y con qué nivel de permisos. En empresas de hasta 30 personas, este ejercicio tarda menos de medio día y reduce dramáticamente la superficie de riesgo.

Qué hacer si ocurre un incidente

Incluso con buenas medidas preventivas, los incidentes pueden ocurrir. La diferencia entre una empresa que sale bien de una crisis de datos y una que no, casi siempre está en si tenía un protocolo preparado de antemano o si lo tuvo que improvisar bajo presión.

El protocolo básico para una pyme tiene cuatro pasos que deben estar escritos y conocidos por al menos dos personas en la empresa antes de que ocurra cualquier incidente:

• →Contención inmediata: identificar qué acceso causó el incidente y cerrarlo. Cambiar contraseñas, revocar tokens, desconectar el sistema si es necesario. Esto debe ocurrir en horas, no días.
• →Evaluación del alcance: qué datos estuvieron expuestos, a cuántas personas afecta y si la información ya salió de los sistemas o solo estuvo en riesgo interno.
• →Comunicación con clientes afectados: ser proactivo y transparente es siempre mejor que esperar a que los clientes se enteren por otro lado. Un correo claro que explique qué pasó, qué datos estuvieron expuestos, qué hizo la empresa para contenerlo y qué pueden hacer los afectados genera más confianza de lo que muchos dueños creen posible en ese momento.
• →Reporte a autoridades si corresponde: según la Ley 21.719, ciertos tipos de brechas de seguridad deben notificarse a la Agencia de Protección de Datos Personales dentro de plazos específicos. Tener esto claro antes del incidente evita el costo adicional de incumplir la obligación de notificación.

Proteger los datos de tus clientes no es solo cumplir una ley. Es una decisión de negocio que define el tipo de empresa que quieres ser y la relación de confianza que construyes con quienes te eligen. En Lumus Consultora hacemos diagnósticos de seguridad de datos para pymes que quieren entender su exposición real y tomar medidas concretas antes de que ocurra algo.