En primer lugar, clasificar el tipo de incidente
El término «uso indebido de datos» puede referirse a diferentes situaciones. La reacción adecuada depende de lo que haya ocurrido realmente:
- En caso de fuga o filtración de datos, se han revelado datos personales o es posible que hayan caído en manos de terceros. No es necesario que se haya producido aún un uso indebido concreto.
- En el caso de una publicación no autorizada, por ejemplo, el nombre, la dirección, el número de teléfono, las fotos, los documentos o los mensajes privados se encuentran disponibles públicamente en Internet.
- En el caso de una suplantación de identidad, se crea un perfil ajeno a su nombre, con su foto u otros datos personales.
- En un caso de uso indebido de la identidad, se utilizan sus datos para realizar pedidos, crear contratos o cuentas, enviar mensajes o hacerse pasar por usted ante otras personas.
- En un caso de acceso a una cuenta, se toma el control de una cuenta ya existente de correo electrónico, Google, de pago o de suchen.expert.
- En caso de uso indebido con fines económicos, se producen cargos desconocidos, solicitudes de crédito, reclamaciones de pago u otras consecuencias económicas.
Una fuga de datos por sí sola no prueba que ya se hayan celebrado contratos o se hayan suplantado cuentas. Por el contrario, el uso indebido de la identidad también puede producirse con datos disponibles públicamente, sin que se conozca una fuga de datos concreta.
Conserve las pruebas cuanto antes
Documente el incidente antes de que se borren contenidos, se bloqueen perfiles o se modifiquen páginas. Sin embargo, esto no debe retrasar la adopción de medidas de protección urgentes, como el bloqueo de una tarjeta o una cuenta.
Recopile, en la medida de lo posible:
- las URL completas y los enlaces a perfiles o anuncios,
- nombres de usuario, identificadores de perfil y de anuncios,
- capturas de pantalla con fecha y hora,
- los correos electrónicos, SMS y mensajes originales,
- datos completos del remitente y, en su caso, encabezados de correo electrónico,
- datos de contratos, facturas, pedidos o reclamaciones,
- datos de pagos y transacciones,
- nombres y datos de contacto de las organizaciones implicadas,
- una nota cronológica en la que se indique cuándo ha detectado y notificado cada hecho,
- números de expediente o de referencia, si se le ha asignado alguno.
En la medida de lo posible, no modifique los archivos ni los mensajes originales. No vuelva a abrir archivos adjuntos ni enlaces sospechosos. No publique pruebas en las redes sociales ni difunda datos personales de otras personas.
No revele más datos
Interrumpa cualquier comunicación sospechosa y no envíe copias adicionales de documentos de identidad, selfies, datos bancarios, datos de acceso ni firmas. Tras un primer abuso, los delincuentes suelen intentar obtener más información con el pretexto de realizar una comprobación, un reembolso o para limitar los daños.
No facilite nunca contraseñas, códigos de un solo uso, PIN, TAN, enlaces completos de activación o restablecimiento ni cookies de sesión. Ni siquiera un supuesto servicio de asistencia, un banco, la policía o un supuesto servicio de recuperación necesitan esta información confidencial.
Para ponerse en contacto, utilice exclusivamente direcciones, sitios web y números de teléfono oficiales que haya localizado usted mismo. No utilice los datos de contacto que figuren en un mensaje sospechoso.
Proteja sus cuentas de correo electrónico, de Google y de otras plataformas
Realice los cambios de seguridad en un dispositivo de confianza. Si ha instalado software desconocido, ha abierto un archivo adjunto sospechoso o ha permitido el acceso remoto, utilice primero otro dispositivo.
Proteja primero la cuenta de correo electrónico o de Google que se utiliza para iniciar sesión y recuperar otros servicios:
- establezca una nueva contraseña única si los datos de acceso pudieran verse afectados,
- compruebe los dispositivos y las sesiones conectados,
- elimine las aplicaciones conectadas que no conozca,
- revise las direcciones y los números de teléfono de recuperación,
- compruebe las reglas de reenvío, filtrado y eliminación de la cuenta de correo electrónico,
- active la autenticación multifactorial o una clave de acceso si el proveedor lo admite.
A continuación, cambie las contraseñas de otras cuentas afectadas. Si una contraseña filtrada se ha utilizado en varios sitios, sustitúyala por una contraseña diferente en cada servicio.
Si detecta anomalías en su cuenta de suchen.expert, siga las instrucciones detalladas de ¿Qué debo hacer si sospecho de un acceso no autorizado? Encontrará consejos para proteger su cuenta de correo electrónico en ¿Cómo puedo asegurarme de que mi dirección de correo electrónico está protegida?
Cómo reaccionar ante una notificación de fuga de datos
Si una empresa o un servicio le informa de una fuga de datos, compruebe la notificación a través de un canal oficial al que haya accedido de forma independiente. Los mensajes de phishing pueden utilizar una supuesta fuga de datos como pretexto.
Pregunte o compruebe lo siguiente:
- qué tipos de datos se han visto afectados,
- en qué periodo tuvo lugar el incidente,
- si podrían verse afectadas contraseñas, datos de seguridad, datos de pago o documentos de identidad,
- qué medidas de protección recomienda el responsable,
- a través de qué canal de contacto oficial se pueden realizar consultas.
Cambie una contraseña si esta pudiera verse afectada, si la utiliza en varios servicios o si hay otros indicios de acceso no autorizado. La mera divulgación de una dirección de correo electrónico no requiere automáticamente el cambio de todas las contraseñas, pero aumenta el riesgo de intentos de phishing dirigidos.
Tras una filtración de datos, preste especial atención a los mensajes personalizados. Los delincuentes pueden utilizar datos reales para que los mensajes falsos parezcan creíbles. Encontrará más información en ¿Cómo reconozco los intentos de phishing y los mensajes falsos?
Denunciar datos publicados sin autorización o perfiles falsos
En primer lugar, guarde la página en cuestión, la URL exacta, el perfil y los datos publicados. A continuación, denuncie el contenido al administrador del sitio web o de la plataforma correspondiente. Describa de forma concreta:
- qué datos o imágenes le afectan,
- por qué la publicación o el uso podrían ser indebidos,
- qué URL o qué perfil se ve afectado,
- si hay algún perfil que suplante su identidad,
- si ya se han difundido mensajes, ofertas o reclamaciones de pago en su nombre,
- qué medida solicita, como por ejemplo, una revisión, restricción, rectificación o eliminación.
Envíe únicamente la información necesaria para la identificación. En caso de que se le solicite una verificación de identidad, pregunte por la finalidad, la base jurídica, los datos necesarios y un canal de transmisión seguro. No envíe una copia completa de su documento de identidad sin que se le haya solicitado.
Informe a sus contactos conocidos a través de un canal de confianza si el perfil falso está enviando mensajes en su nombre. Pídales que no abran enlaces, no paguen dinero ni faciliten datos.
La eliminación de contenido en una plataforma no elimina automáticamente las copias ya realizadas, los resultados de los motores de búsqueda ni las publicaciones en otros sitios web. Denuncie cada ubicación conocida al operador responsable correspondiente. Evite las acusaciones públicas o las llamadas de búsqueda por su cuenta.
Impugne los contratos, pedidos o cuentas desconocidos
Si una empresa afirma que existe un pedido, una cuenta, un contrato de telefonía móvil, un crédito u otro contrato a su nombre, póngase en contacto con ella a través de datos de contacto verificados de forma independiente. Comunique por escrito que usted no ha iniciado el trámite y solicite:
- que se señale como posible suplantación de identidad,
- una comprobación de la documentación y los datos de contacto subyacentes,
- información sobre qué datos se han tratado y de qué fuente se han obtenido,
- una copia o información clara sobre la operación alegada,
- la rectificación de los datos inexactos,
- en la medida en que sea legalmente posible, una limitación del tratamiento posterior durante la verificación.
No admita la deuda ni realice ningún pago únicamente por presión o ante una reclamación inesperada. Pero tampoco ignore las cartas. Para las impugnaciones, las comunicaciones judiciales, los procedimientos de reclamación y otros trámites formales pueden aplicarse plazos breves. Si es necesario, solicite ayuda a tiempo a una oficina de defensa del consumidor o a un abogado.
Una denuncia penal o una notificación por suplantación de identidad no pone fin automáticamente a un supuesto contrato o a una reclamación. Por lo tanto, guarde las respuestas y las pruebas de forma ordenada.
Consulte el SCHUFA solo en caso de posible abuso de solvencia o contractual
Una consulta a la SCHUFA resulta especialmente útil cuando hay indicios de solicitudes de crédito, cuentas bancarias, contratos de telefonía móvil, compras a cuenta u otras operaciones relevantes para la solvencia realizadas por terceros. Una foto publicada o un correo electrónico no deseado no requieren por sí solos una notificación a la SCHUFA.
Puede solicitar a la SCHUFA una copia gratuita de sus datos, de conformidad con el artículo 15 del RGPD, y comprobar si se han almacenado consultas, contratos o reclamaciones desconocidas. Trate esta copia de datos de forma confidencial, ya que puede contener una gran cantidad de información personal.
La SCHUFA ofrece además un procedimiento para denunciar un fraude de identidad. Según los requisitos publicados al respecto, se necesitan, entre otras cosas, un formulario, un documento de identidad y un justificante de la denuncia penal. Utilice exclusivamente el canal oficial de la SCHUFA y consulte allí los requisitos actuales.
La notificación no sustituye a la aclaración directa con las empresas que hayan comunicado un contrato ajeno o una deuda.
Si se detecta la participación de otras agencias de información crediticia, diríjase también a ellas de forma específica. No envíe datos personales de forma preventiva a un gran número de organismos desconocidos.
Informar a los bancos y a los servicios de pago
Si se ven afectados datos bancarios, de tarjetas o de pago, o si ya aparecen movimientos desconocidos, póngase en contacto inmediatamente con el banco, el emisor de la tarjeta o el servicio de pago a través del canal oficial. Solicite que se compruebe si es necesario bloquear cuentas, tarjetas o autorizaciones de domiciliación bancaria y si hay que reclamar las transacciones.
Compruebe otros movimientos y preste atención a pequeños cargos de prueba. Cambiar la contraseña no sustituye ni al bloqueo de la tarjeta ni a la notificación de una transacción. No se puede garantizar un reembolso ni una anulación del cargo.
Las diferencias entre PayPal, las tarjetas, la domiciliación bancaria SEPA y la transferencia bancaria se explican en ¿Qué hacer ante cargos sospechosos de PayPal o de otros pagos?
Documentos de identidad, tarjetas SIM y otros justificantes
Si realmente se ha perdido o le han robado el documento de identidad, denuncie la pérdida o el robo sin demora ante la autoridad competente en materia de documentos de identidad o ante la policía, y solicite que se bloquee la función de identificación en línea. Encontrará información al respecto en el portal federal para el bloqueo de la función de identificación en línea.
Si únicamente se ha facilitado una copia del documento de identidad o una fotografía del mismo, la medida adecuada dependerá del alcance y del tipo concreto de uso indebido. No siempre es necesario, de forma automática, bloquear el documento o solicitar una nueva expedición. Solicite asesoramiento a la autoridad competente en materia de documentos de identidad o a la policía sobre el caso concreto.
Póngase también en contacto con la entidad emisora correspondiente si se ha perdido, falsificado o utilizado indebidamente el permiso de conducir, el permiso de residencia, la tarjeta sanitaria, la tarjeta de cliente o cualquier otro documento similar.
En caso de un cambio desconocido de tarjeta SIM, una pérdida repentina de la cobertura móvil o actividades sospechosas en la cuenta de cliente, póngase en contacto inmediatamente con el operador de telefonía móvil. Un número de teléfono suplantado puede utilizarse indebidamente para procesos de registro y recuperación.
Informar a suchen.expert
Si el uso indebido afecta a un perfil de suchen.expert, un anuncio, un mensaje o datos publicados en la plataforma, póngase en contacto con el servicio de asistencia a través del formulario de contacto oficial.
Es útil facilitar:
- el enlace al perfil o al anuncio afectado,
- los ID del anuncio y del mensaje,
- una breve cronología,
- los datos concretos objeto de abuso,
- capturas de pantalla editadas,
- las denuncias o bloqueos ya realizados,
- un número de expediente policial, si se dispone de él y es relevante para la investigación.
No envíe contraseñas, códigos, enlaces completos de restablecimiento, cookies de sesión, datos completos de tarjetas de crédito ni documentos de identidad sin que se le soliciten. Encontrará información sobre el tratamiento de datos por parte de suchen.expert en la Política de privacidad.
suchen.expert puede revisar los procesos y contenidos dentro de la plataforma basándose en la información disponible. No se puede garantizar la eliminación completa de datos ya difundidos externamente, la recuperación de todos los contenidos ni la resolución de reclamaciones de carácter privado.
Ejercer de forma específica los derechos de protección de datos
Dependiendo de la situación, pueden existir derechos derivados del Reglamento General de Protección de Datos frente a la organización responsable del tratamiento de datos en cada caso. Entre ellos se incluyen, en particular:
- acceso a los datos personales tratados, sus fines, fuentes y destinatarios, de conformidad con el artículo 15 del RGPD,
- rectificación de datos inexactos, de conformidad con el artículo 16 del RGPD,
- supresión, en las condiciones previstas en el artículo 17 del RGPD,
- limitación del tratamiento, en las condiciones previstas en el artículo 18 del RGPD,
- oposición a determinados tratamientos, de conformidad con el artículo 21 del RGPD.
Dirija su solicitud de la forma más concreta posible al responsable del tratamiento o a su persona de contacto en materia de protección de datos. Indique los datos afectados y la medida solicitada. Conserve su solicitud y la respuesta recibida.
Estos derechos no se aplican sin restricciones. Las obligaciones legales de conservación, la defensa de reclamaciones legales, los derechos de otras personas, la libertad de expresión y de información u otros motivos legales pueden impedir la supresión total o el acceso a la información. Además, el responsable del tratamiento podrá exigir una verificación adecuada de la identidad.
El texto vinculante y los requisitos se recogen en el Reglamento General de Protección de Datos en EUR-Lex.
Recurrir a la autoridad de control de protección de datos
Si ha denunciado un posible tratamiento ilícito y la entidad responsable no ha reaccionado de forma adecuada o persiste una infracción de la protección de datos, puede presentar una reclamación ante la autoridad de control de protección de datos competente. La autoridad competente depende, entre otras cosas, de la organización responsable, su sede y el ámbito afectado.
La Conferencia de Protección de Datos publica una lista de las autoridades de control de protección de datos del Estado federal y de los estados federados. La Delegada Federal de Protección de Datos no es competente automáticamente para todas las empresas privadas; a menudo, la autoridad de control del estado federado correspondiente es el interlocutor adecuado.
Una reclamación ante la autoridad de control no sustituye a una denuncia penal, ni a una respuesta dentro de un plazo determinado a una reclamación, ni al asesoramiento en materia de derecho civil. Tampoco garantiza la supresión inmediata de un contenido ni una indemnización por daños y perjuicios.
Póngase en contacto con la policía en caso de suplantación de identidad o sospecha de delito
En caso de contratos, pedidos o cuentas falsos, perjuicios económicos, apropiación indebida de cuentas, documentos falsificados, chantaje, amenazas u otros actos concretos de abuso, puede presentar una denuncia penal. Para casos no urgentes, tiene a su disposición la comisaría en línea de la policía. En caso de peligro inmediato, llame al 110.
Presente una cronología objetiva y los documentos originales que haya conservado. Solicite un número de expediente o de referencia, en caso de que se le asigne uno. Esto puede resultar útil más adelante ante empresas, bancos o la SCHUFA. Sin embargo, presentar una denuncia no garantiza ni la identificación del autor ni el reembolso ni la rectificación automática de los registros de datos ajenos.
Encontrará más información oficial en la sección de prevención policial de la delincuencia en Cómo prevenir el robo de identidad: así protege su identidad en Internet.
Siga vigilando las consecuencias
En los días siguientes, revise sus cuentas de correo electrónico, Google, de pago y cualquier otra cuenta afectada. Preste atención a nuevos pedidos, recordatorios de pago, solicitudes de crédito, cambios de dirección y mensajes a sus contactos. Anote los nuevos incidentes junto con la cronología anterior e informe a las entidades ya implicadas si la situación se agrava.
Tenga especial cuidado con supuestos investigadores, abogados, asesores de protección de datos o servicios de recuperación que se pongan en contacto con usted de forma inesperada y le prometan una eliminación segura, la recuperación de su cuenta o la devolución de su dinero a cambio de un pago por adelantado. Verifique de forma independiente este tipo de contactos.
