Violación de datos

Una filtración de datos comienza como un incidente técnico y termina como un problema personal. Lo que empezó como un servidor comprometido en una clínica médica de Frisco o una computadora portátil robada en un bufete de abogados de San Antonio se convierte, en cuestión de semanas, en miles de cartas individuales que advierten que un número de Seguro Social está circulando sin control alguno. La Sección 521.053 del Código de Negocios y Comercio de Texas define este hecho como la adquisición no autorizada de datos informatizados que compromete la confidencialidad, la seguridad o la integridad, y una vez que se cruza ese umbral, comienza a correr el plazo para el cumplimiento de las obligaciones legales.

¿Qué es una filtración de datos?

Los incidentes de filtración de datos comparten una característica común, independientemente del sector: la información que debía permanecer privada termina en manos de alguien que nunca debería haberla visto. Un sistema de registros hospitalarios, una base de datos de nóminas o una aplicación de fidelización de clientes pueden fallar de la misma manera. Según la Sección 521.053 del Código de Negocios y Comercio de Texas, el detonante es la adquisición no autorizada, no la intención, lo que significa que un error de configuración por descuido puede tener el mismo peso legal que una infracción coordinada. ataque de ransomware una vez que información personal sensible cambia de manos sin permiso.

¿Cómo se define una violación de datos según las leyes de protección de datos?

Si se pregunta a tres estados diferentes qué se considera una violación de seguridad, las respuestas varían según la ley. La Sección 521.053(a) de Texas aclara la cuestión para los residentes: una violación de la seguridad del sistema implica la adquisición no autorizada de datos informatizados que compromete la confidencialidad, la seguridad o la integridad de información personal sensible, incluidos los datos cifrados si el intruso también posee la clave de descifrado. Una pequeña firma de contabilidad en Waco y una cadena minorista nacional con sede en Dallas se rigen por la misma ley en el momento en que un tercero obtiene dicho acceso.

¿Qué se considera una violación de datos personales?

No todos los archivos expuestos constituyen una violación de datos personales. La Sección 521.002 limita la categoría a identificadores específicos: un nombre o inicial junto con un apellido, combinados con un número de Seguro Social, un número de licencia de conducir o información de cuentas financieras. En el caso Hays v. Frost & Sullivan, Inc., No. SA-23-CV-01490-FB (WD Tex. 16 de agosto de 2024), 279 personas sufrieron la exposición de esta combinación tras la infiltración de un grupo de ransomware autodenominado Akira en la red de la empresa, y esta combinación por sí sola bastó para fundamentar una demanda federal.

¿Cuál es la diferencia entre una violación de datos y una fuga de datos?

Imaginemos dos empresas en la misma tarde. Una es hackeada por un grupo externo que logra sortear un cortafuegos. La otra deja accidentalmente una base de datos de clientes expuesta a internet sin contraseña. Ambos sucesos exponen el mismo tipo de información, pero solo uno involucra a un intruso. fuga de datos Describe ese segundo escenario, una exposición causada por una configuración incorrecta, un error humano o un almacenamiento negligente, en lugar de una intrusión. La ley de notificación de Texas, según la Sección 521.053, no distingue entre las dos opciones; ambas generan la misma obligación una vez que la información personal confidencial llega a manos de alguien no autorizado.

¿Cuándo se convierte el acceso no autorizado en una violación de datos?

La cuestión no radica en la habilidad del intruso, sino en el permiso. El artículo 521.053(a) establece el límite cuando una persona ajena a la organización, o un empleado interno que actúa más allá de cualquier propósito comercial legítimo, obtiene o visualiza información personal confidencial. El acceso de buena fe por parte de un empleado que desempeña sus funciones habituales no traspasa ese límite, pero en el momento en que un exempleado inicia sesión en un sistema utilizando credenciales antiguas para copiar archivos de clientes, la ley considera ese acceso como una violación de seguridad.

¿Cuáles son las causas de las filtraciones de datos?

Cada brecha de seguridad se remonta a uno de los pocos puntos de fallo recurrentes dentro de los sistemas de una organización o de su personal.

• Correos electrónicos de phishingUna página de inicio de sesión falsa o un archivo adjunto a una factura, muy convincentes, engañan a un empleado para que introduzca unas credenciales que los atacantes reutilizan inmediatamente para acceder a los servidores de la empresa sin ser detectados.
• Contraseñas recicladasUna misma contraseña utilizada tanto para una cuenta personal como para una cuenta de trabajo ofrece a los atacantes un acceso directo una vez que cualquiera de los sistemas se ve comprometido en un incidente no relacionado.
• Software sin parchearLos sistemas obsoletos que presentan vulnerabilidades conocidas y documentadas públicamente ofrecen a los intrusos una ruta de acceso a la red sin necesidad de utilizar ninguna credencial robada.
• Brechas entre proveedores y contratistasUn tercero que custodia datos de clientes en nombre de una empresa, como hizo Blackbaud para miles de organizaciones sin ánimo de lucro y hospitales, puede exponer registros que la empresa cliente nunca controló directamente.
• Documentos físicos extraviadosUn disco duro desechado, una caja de archivos sin triturar o un teléfono de empresa extraviado pueden filtrar años de registros sin ninguna intrusión digital.

¿Cómo suelen provocar los hackers las filtraciones de datos en las empresas?

La mayoría de las intrusiones comienzan silenciosamente, días o semanas antes de que alguien se dé cuenta. Un hacker identifica un punto de entrada débil, a menudo una sola credencial de empleado obtenida mediante phishing, y la utiliza para moverse lateralmente a través de sistemas conectados hasta llegar a una base de datos que vale la pena robar. La demanda en el caso Hays contra Frost & Sullivan alegaba que el grupo de ransomware Akira siguió exactamente este patrón: accedió al sistema, extrajo archivos y, posteriormente, publicó los datos robados en un sitio de la dark web cuando la empresa no pagó el rescate.

¿Qué es una filtración de datos relacionada con el ransomware?

El dinero, no la curiosidad, impulsa la mayoría de las intrusiones de ransomware. Los atacantes primero copian los archivos de una empresa, luego cifran los originales y exigen un pago por la clave de descifrado, convirtiendo una sola intrusión en una doble amenaza de pérdida de datos y exposición pública. Esto califica como un ataque de ransomware En combinación con una adquisición no autorizada según la Sección 521.053, se aplican las obligaciones de notificación de Texas independientemente de que la empresa pague o no. Los tribunales suelen considerar esta selección deliberada como una prueba más contundente del daño que una filtración accidental, ya que demuestra que los datos eran lo suficientemente valiosos como para que alguien planificara en función de ellos.

¿Pueden las amenazas internas provocar filtraciones de datos?

Sí, y la exposición puede ser más difícil de detectar que un ataque externo porque el acceso ya parece legítimo. Un empleado que se marcha y copia una lista de clientes antes de renunciar, o un miembro del personal que vende registros de cuentas por dinero en efectivo, ambos casos están contemplados en la Sección 521.051 del Código de Negocios y Comercio de Texas, que tipifica como delito la obtención o el uso de información de identificación de otra persona sin su consentimiento. El cortafuegos de la empresa nunca activa una alerta porque la persona que se marcha ya tenía las llaves.

¿Qué son las filtraciones accidentales de datos en las organizaciones?

Sin hackers, sin malware, sin nota de rescate, el resultado puede ser idéntico. Una hoja de cálculo con los números de la Seguridad Social de los clientes enviada a una dirección de correo electrónico incorrecta, una base de datos migrada a un servidor en la nube sin restricciones de acceso o los extractos de cuenta enviados a direcciones antiguas son ejemplos de ello. La Sección 521.053 no distingue entre la exposición maliciosa y la accidental una vez que la información personal confidencial llega a manos de una persona no autorizada, y el mismo plazo de notificación de 60 días se aplica independientemente de cómo se haya producido el error.

¿Qué leyes se aplican a las filtraciones de datos?

Varias leyes que se superponen rigen la forma en que una empresa de Texas debe proteger y divulgar información personal confidencial.

• Ley de Texas para la Aplicación de la Ley y la Protección contra el Robo de Identidad, codificado en el Capítulo 521 del Código de Negocios y Comercio, que exige medidas de seguridad razonables y la notificación a los residentes.
• Ley de privacidad y seguridad de datos de Texas, Capítulo 541 del Código de Negocios y Comercio, vigente a partir del 1 de julio de 2024, que rige la recopilación y el procesamiento de datos de los consumidores en todo el estado.
• Ley de Portabilidad y Responsabilidad del Seguro Médico, una ley federal que impone obligaciones separadas de notificación de violaciones de seguridad a las entidades de salud cubiertas y a sus contratistas.
• Ley Gramm-Leach-Bliley, una ley federal que exige a los bancos, prestamistas y aseguradoras proteger la información financiera no pública.
• Sección 5 de la Ley de la Comisión Federal de Comercio, autorizando acciones federales contra empresas cuyas prácticas de manejo de datos constituyan una conducta desleal o engañosa.

¿Cuáles son las obligaciones legales tras una violación de datos?

Las obligaciones comienzan de inmediato, no una vez finalizada la investigación. La empresa debe contener la intrusión, determinar su alcance y, posteriormente, notificar la violación a los residentes afectados. La Sección 521.053(b) establece un plazo máximo de 60 días a partir de la fecha de determinación, sujeto a una prórroga limitada si las autoridades lo solicitan conforme al inciso (d). Una vez que la notificación llega a más de 10 000 personas simultáneamente, el inciso (h) añade la obligación de alertar a las agencias nacionales de informes de crédito al consumidor.

¿Cuándo debe una empresa informar a las autoridades sobre una violación de datos?

Treinta días, no sesenta, es la cifra que importa una vez que la brecha de seguridad supera un umbral determinado. La Sección 521.053(i) exige notificar al Fiscal General de Texas a más tardar el trigésimo día después de que una empresa determine que ocurrió una brecha de seguridad que afectó a 250 o más residentes del estado, mediante el portal en línea del Fiscal General. La brecha de seguridad de Frost & Sullivan, que involucró a 279 personas, cumplía plenamente con este requisito de notificación.

¿Qué sanciones se aplican por no informar sobre una violación de datos?

El precio del silencio es alto y aumenta día a día. La Sección 521.151 establece una multa civil de entre 1.040 y 1.040 dólares por infracción, que puede ser cobrada directamente por el Fiscal General de Texas. Además, una infracción de las disposiciones sobre robo de identidad de la Sección 521.051 constituye una práctica comercial engañosa según la Sección 521.152, lo que abre la puerta a recursos adicionales de protección al consumidor. La oficina del Fiscal General Ken Paxton recaudó más de 1.040 dólares solo de Blackbaud después de que las divulgaciones de la compañía sobre la violación de datos no cumplieran con los requisitos de la ley estatal.

¿Cómo determinan los tribunales las indemnizaciones en las demandas por filtración de datos?

Los jueces no se dejan convencer solo por el miedo. Los tribunales sopesan las pérdidas financieras documentadas, los cargos fraudulentos, los gastos de monitoreo de crédito y el tiempo dedicado a reparar el crédito dañado, junto con cualquier daños y perjuicios legales Un estatuto específico lo establece. En Hays v. Frost & Sullivan, las demandas por negligencia y negligencia per se sobrevivieron al sobreseimiento porque el demandante señaló costos de mitigación concretos y evidencia de que los datos robados habían aparecido en un foro de hackers, y no solo un riesgo teórico de que algún día pudieran ser mal utilizados.

¿A qué autoridades se debe informar tras una filtración de datos?

El tamaño y el tipo de una violación de seguridad determinan a qué destinatarios debe notificar la ley de Texas.

• Fiscal General de Texas: Se requiere notificación dentro de los 30 días una vez que una violación afecte a 250 o más residentes de Texas.
• Personas afectadas: Se requiere notificación dentro de los 60 días para cualquier persona cuya información personal sensible haya sido expuesta.
• Agencias de informes de crédito al consumidor: Se requiere notificación inmediata cuando un solo incidente afecte a más de 10.000 personas.
• Reguladores federales: Se requiere notificación por separado según HIPAA o Gramm-Leach-Bliley para registros médicos o financieros.

¿Puede un abogado especializado en lesiones personales gestionar casos de filtración de datos?

A abogado de lesiones personales Al tramitar reclamaciones por robo de identidad o exposición de datos, generalmente se revisa la carta de notificación de la violación de seguridad, la política de privacidad de la empresa y cualquier registro bancario o crediticio que muestre fraude vinculado a los datos expuestos antes de presentar una demanda. Los tribunales de Texas, como se demostró en el litigio de Frost & Sullivan, han permitido que las demandas por negligencia relacionadas con una seguridad de datos deficiente sigan adelante una vez que el demandante vincula pérdidas específicas con la propia violación de seguridad.

¿Quién es legalmente responsable de una violación de datos en una empresa?

La responsabilidad rara vez recae en una sola entidad. La empresa propietaria o licenciataria de los datos comprometidos tiene la obligación principal según la Sección 521.052, que exige procedimientos razonables para proteger la información personal sensible y medidas correctivas una vez detectada la vulnerabilidad. Sin embargo, un proveedor que gestione esos datos bajo contrato, como un proveedor de alojamiento en la nube o un procesador de pagos, puede compartir o transferir esa responsabilidad según los términos de indemnización que ambas partes hayan firmado antes de que ocurriera la violación de seguridad.

¿Cómo se demuestra la negligencia en un caso de violación de datos?

Cuatro piezas deben encajar. Un demandante debe demostrar que la empresa tenía el deber de proteger los datos, que no se implementaron medidas de seguridad razonables, que esta deficiencia permitió que ocurriera la filtración y que se produjeron daños reales. Esto refleja lo habitual. negligencia en derecho Se aplicó a un registro digital en lugar de a un peligro físico. En el caso Hays v. Frost & Sullivan, el tribunal permitió que procedieran las demandas por negligencia y negligencia per se porque la demanda vinculaba deficiencias de seguridad específicas con una intrusión documentada de ransomware y un daño financiero cuantificable.

¿Pueden demandarse a las empresas por no prevenir las filtraciones de datos?

Sí, aunque una demanda por sí sola no garantiza que la puerta del tribunal permanezca abierta. La legitimación procesal federal aún requiere un daño concreto según TransUnion LLC v. Ramirez, 594 US 413 (2021), por lo que una simple alegación de mayor riesgo futuro rara vez sobrevive a una moción de desestimación por sí sola. El juez magistrado en Hays, de todos modos, reconoció la legitimación procesal, señalando la naturaleza deliberada y dirigida de la intrusión del ransomware Akira y los gastos reales de mitigación del demandante como la diferencia entre la especulación y un daño real.

¿Cuál es la diferencia entre negligencia y responsabilidad cibernética en casos de violación de seguridad?

Una es la teoría de la demanda. La otra es la del riesgo empresarial. La negligencia plantea una pregunta específica: ¿esta empresa no actuó con la debida diligencia al proteger los datos de una persona en particular? Responsabilidad cibernética Abarca un ámbito mucho más amplio, incluyendo multas regulatorias según la Sección 521.151, disputas contractuales de indemnización con proveedores y costos de notificación que se generan independientemente de que un demandante presente o no una demanda. Un tribunal de Texas que evalúa una reclamación por negligencia aplica los elementos ordinarios del derecho de daños, mientras que una aseguradora que evalúa la exposición a la responsabilidad cibernética revisa el lenguaje de la póliza y los contratos con los proveedores mucho antes de que intervenga cualquier tribunal.

¿Es aplicable la responsabilidad objetiva en casos de violación de datos?

Texas exige prueba de culpa, no responsabilidad automática, antes de que una empresa responda por una violación de datos. A diferencia de responsabilidad objetiva En las reclamaciones relacionadas con productos defectuosos conforme al Capítulo 82 del Código de Procedimiento Civil y Remedios, el demandante por una violación de datos aún debe demostrar que la empresa no cumplió con el estándar de diligencia razonable establecido en la Sección 521.052 o que incumplió una promesa específica contenida en una política de privacidad o un contrato. En el caso Hays v. Frost & Sullivan, el tribunal analizó las reclamaciones a través de los principios de negligencia y contractuales, y no bajo un marco de responsabilidad objetiva, en consonancia con la forma en que los tribunales de Texas han abordado esta área del derecho.