Filtración de datos personales: qué hacer en tu empresa

Un correo con la planilla de clientes que salió al destinatario equivocado. Una notebook robada del auto con los legajos de los trabajadores. Un acceso a la nube que alguien dejó abierto. O, cada vez más seguido, un trabajador que pegó el expediente de un cliente en ChatGPT sin preguntarle a nadie. Todos son, para la ley uruguaya, posibles vulneraciones de seguridad.

Lo que se hace en las primeras horas pesa más que todo lo demás. Desde el Decreto 64/020 hay un reloj que corre: 24 horas para empezar a contener y 72 horas para avisar a la URCDP. Esta guía explica qué dice la normativa, qué hacer paso a paso, qué decirle a los afectados y cómo preparar la respuesta antes de que pase.

Qué es una filtración de datos personales

La palabra «filtración» no está en la ley. La normativa uruguaya habla de vulneración de seguridad, y el Decreto 64/020 describe los incidentes que la producen (artículo 3): los que ocasionan, entre otras, la divulgación, destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a esos datos.

La definición es amplia a propósito. No hace falta un ataque informático; alcanza con un error. Y no hace falta que los datos se publiquen; alcanza con que lleguen a quien no debía. Algunos ejemplos que entran:

• un correo con datos de clientes mandado a otra persona;
• una carpeta compartida con un enlace abierto;
• la pérdida o el robo de una computadora o un celular con datos sin protección;
• un ataque que cifra los archivos y los deja inaccesibles;
• un ex trabajador que se lleva una planilla de clientes;
• un proveedor que sufre un ataque y expone los datos que trataba por tu cuenta;
• datos de clientes pegados en un servicio externo sin autorización.

Detrás de la obligación de responder está el principio de seguridad del artículo 10 de la Ley 18.331: el responsable tiene que evitar la adulteración, pérdida, consulta o tratamiento no autorizado de los datos, y detectar desviaciones de información, intencionales o no, ya sea que vengan de la acción humana o del medio técnico.

Alguien pegó datos de clientes en ChatGPT: ¿es una filtración?

Puede serlo, y la empresa no debería descartarlo de entrada.

Cuando un trabajador pega en un chat de IA el nombre, el correo y el celular de un cliente, comunica esos datos a un tercero: una empresa que los procesa, casi siempre fuera del Uruguay, y que según el plan y la cuenta puede conservarlos. Si la empresa no autorizó esa herramienta, la comunicación no estaba autorizada, y eso encaja en la descripción del Decreto 64/020.

Si además hay que comunicarlo a la URCDP depende de si la vulneración incide en la protección de los datos, como dice el artículo 4. No es lo mismo un nombre suelto en una consulta que una planilla entera de pacientes con diagnósticos. Pero aunque al final no se comunique, conviene tratarlo como incidente: anotarlo, evaluarlo y corregir la causa. Más abajo hay un apartado específico para este caso.

Aviso a la URCDP en 72 horas

Dos normas fijan la obligación:

La Ley 19.670, artículo 38. Cuando el responsable o el encargado de una base o de un tratamiento toma conocimiento de una vulneración de seguridad, tiene que informar en forma inmediata y pormenorizada de ella y de las medidas que adopte, a los titulares de los datos y a la URCDP. La Unidad coordina el curso de acción con el Centro Nacional de Respuesta a Incidentes de Seguridad Informática del Uruguay (CERTuy).

El Decreto 64/020, artículo 4. El responsable, una vez que constata la vulneración, la comunica a la URCDP en un plazo máximo de 72 horas de conocida.

Y antes de eso, el artículo 3 del mismo decreto pide iniciar dentro de las primeras 24 horas de constatado el incidente los procedimientos necesarios para minimizar su impacto.

qué	plazo	norma
Empezar a contener y minimizar el impacto	24 horas desde que se constata	Decreto 64/020, art. 3
Comunicar a la URCDP	72 horas como máximo desde que se conoce	Decreto 64/020, art. 4
Encargado avisa al responsable	De inmediato	Decreto 64/020, art. 4
Avisar a los titulares con afectación significativa	Una vez constatada	Decreto 64/020, art. 4; Ley 19.670, art. 38
Informe final a la URCDP	Una vez solucionada	Decreto 64/020, art. 4

Las 72 horas corren desde que se conoce la vulneración, no desde que se termina de investigar. Si a las 72 horas todavía no sabés todo, conviene comunicar lo que sabés y completar después.

Qué tiene que decir la comunicación

El Decreto 64/020 (artículo 4) pide que la comunicación a la URCDP contenga información relevante, tal como:

• la fecha cierta o estimada en que ocurrió la vulneración;
• su naturaleza: qué pasó;
• los datos personales afectados;
• los posibles impactos generados.

En la práctica conviene agregar quién de la empresa es el contacto, cuántas personas pueden estar afectadas y qué medidas ya se tomaron. La URCDP publica una guía para la gestión, documentación y comunicación de vulneraciones de seguridad en datos personales, que vale la pena leer antes de necesitarla.

Y una vez solucionada la vulneración, el responsable elabora un informe pormenorizado de lo que pasó y de las medidas adoptadas, y lo comunica a la URCDP.

Cuándo avisar a las personas afectadas

El responsable comunica la vulneración, en un lenguaje claro y sencillo, a los titulares de los datos que hayan sufrido una afectación significativa en sus derechos (Decreto 64/020, artículo 4). La Ley 19.670 habla de informar a los titulares en forma inmediata y pormenorizada.

¿Qué es afectación significativa? El decreto no da una lista, pero hay casos que la vuelven muy probable: datos sensibles, como diagnósticos o afiliación sindical; datos que permiten un fraude, como contraseñas, datos bancarios o la cédula junto con otros datos; o datos de menores. Un correo mandado por error con el nombre de un cliente a otro cliente puede no serlo; una planilla de historias clínicas expuesta, sin duda.

Filtración de datos personales: qué hacer, paso a paso

1. Pará la fuga

Lo primero es que deje de salir información. Cambiar contraseñas, cerrar el enlace compartido, desconectar el equipo afectado, pedirle al destinatario equivocado que borre el correo, bloquear la cuenta del ex trabajador. Las 24 horas del Decreto 64/020 empiezan acá.

2. Anotá qué pasó, dónde y cuándo

Antes de que se olvide: fecha y hora en que ocurrió y en que se supo, quién lo detectó, qué sistemas o archivos están involucrados, qué datos y de cuántas personas. Esta nota es la base de la comunicación a la URCDP y del informe final.

3. Contené el daño

Una vez parada la fuga, limitar lo que ya salió: pedir al proveedor que borre lo que recibió, revocar accesos, restaurar respaldos, avisar al banco si hay datos de pago. Si hay un proveedor involucrado, el encargado tiene que avisarte de inmediato (Decreto 64/020, artículo 4).

4. Evaluá el riesgo para las personas

La pregunta no es cuánto le cuesta a la empresa, sino qué le puede pasar a cada persona afectada. ¿Le pueden robar la identidad? ¿Le pueden vaciar una cuenta? ¿Se expuso su salud? Esa evaluación define si hay afectación significativa y a quién hay que avisar.

5. Avisá a quien corresponda

A la URCDP dentro de las 72 horas. A los titulares con afectación significativa. A tu aseguradora, si tenés una póliza que pueda cubrir el caso, en el plazo que fije el contrato. Y, si hubo un delito, a la Policía o a la Fiscalía.

6. Corregí la causa

Un incidente cerrado sin corregir la causa vuelve. Si fue un enlace abierto, revisar todos los enlaces. Si fue un chat de IA, poner por escrito qué se puede pegar y qué no. Si fue un proveedor, revisar el contrato. Y mandar a la URCDP el informe final.

Cuando alguien pegó datos de clientes en ChatGPT

Es el incidente más común hoy y tiene sus propios pasos:

1. Que la persona lo cuente sin miedo. Si la reacción es un castigo inmediato, la próxima vez no lo va a contar. Lo que más sirve es saberlo rápido.
2. Identificar qué se pegó. Qué datos, de cuántas personas, en qué herramienta y con qué cuenta: personal o de la empresa.
3. Borrar la conversación y, si la herramienta lo permite, desactivar el uso de los chats para entrenar modelos. Ayuda, aunque no garantiza que no queden copias.
4. Revisar las condiciones de esa herramienta para ese tipo de cuenta: si el proveedor trata los datos por cuenta de la empresa o para sus propios fines, y dónde los procesa. Lo explicamos en cómo borrar el historial de ChatGPT.
5. Evaluar si hay que comunicarlo a la URCDP y a los afectados, con los mismos criterios que cualquier otra vulneración. Con datos sensibles, la respuesta casi siempre es sí.
6. Anotarlo en el registro de incidentes.
7. Corregir la causa: una regla escrita y una forma de tapar los datos que no dependa de la memoria de cada persona. Tenés un modelo en política de uso de IA en empresas.

Un registro de incidentes de una página

El Decreto 64/020 pide documentar las medidas de responsabilidad proactiva, y esa documentación incluye, como mínimo, la planificación de mecanismos para responder a vulneraciones de seguridad (artículo 5). Tiene que estar disponible si la URCDP la pide. Un registro simple cumple buena parte de eso:

campo	qué anotar
Fecha y hora del incidente	Cuándo ocurrió, aunque sea estimado
Fecha y hora en que se supo	Desde acá corren las 72 horas
Quién lo detectó	Nombre y área
Qué pasó	Una descripción breve
Datos afectados	Tipo de datos y cantidad de personas
¿Datos sensibles?	Sí o no, y cuáles
Medidas tomadas	Qué se hizo y cuándo
¿Se comunicó a la URCDP?	Sí o no, cuándo y por qué
¿Se avisó a los titulares?	Sí o no, cuándo y por qué
Causa y corrección	Qué se cambió para que no vuelva a pasar

Lo importante es anotar también los incidentes que no se comunicaron, con la razón. Si algún día la URCDP pregunta, la respuesta está escrita.

Qué decirle al cliente afectado

Un aviso a un cliente funciona mejor cuando es corto, claro y no esconde nada. Una estructura que sirve:

1. Qué pasó, en una o dos frases y sin tecnicismos.
2. Qué datos suyos se vieron afectados.
3. Qué hizo la empresa para contenerlo.
4. Qué le recomendamos hacer: cambiar una contraseña, estar atento a correos o mensajes que usen sus datos, avisar a su banco.
5. A quién escribir si tiene dudas.

Evitá minimizar («un incidente menor») si no lo sabés con certeza, y evitá culpar al proveedor o al trabajador: para el cliente, la responsable sos vos.

¿La filtración de datos es delito?

Para la empresa que no cuidó los datos, la consecuencia principal es administrativa: la URCDP puede aplicar, según la gravedad, observación, apercibimiento, multa de hasta 500.000 unidades indexadas, suspensión de la base por cinco días o clausura (artículo 35 de la Ley 18.331). Y puede haber responsabilidad civil frente a las personas perjudicadas.

Del lado de quien provocó la filtración, la Ley 20.327, de 2024, agregó al Código Penal varios ciberdelitos. Dos importan acá:

• Acceso ilícito a datos informáticos (artículo 297-BIS): castiga a quien, por medios informáticos o telemáticos, sin autorización y sin justa causa, accede, interfiere, difunde, vende o cede información ajena contenida en soporte digital.
• Vulneración de datos (artículo 297-QUATER): castiga a quien, por cualquier medio telemático, accede, se apodera, usa o modifica datos confidenciales de terceros sin autorización de su titular, con una pena mayor para quien los difunde o revela, y una agravante cuando lo comete la persona encargada de custodiar esos registros.

A eso se suma el artículo 302 del Código Penal, que castiga la revelación de un secreto conocido por la profesión, el empleo o la comisión cuando causa perjuicio, y al que la Ley 18.331 remite para todo el personal que trabaja con datos (artículo 11). Si un caso concreto es delito lo evalúa un abogado con los hechos.

Si tus datos se filtraron: qué podés hacer

Si sos la persona afectada, estos son los pasos:

1. Cambiá las contraseñas que pudieron quedar expuestas, empezando por el correo, y activá la verificación en dos pasos.
2. Revisá los movimientos de tus cuentas y tarjetas, y avisá al banco si ves algo raro.
3. Desconfiá de los mensajes que usen tus datos para pedirte algo: un correo que dice ser de tu banco y sabe tu nombre completo es la forma más común de fraude después de una filtración.
4. Pedile a la empresa acceso a tus datos: qué datos tuyos tiene y a quién se los comunicó. Tiene cinco días hábiles para contestar (artículo 14 de la Ley 18.331).
5. Si no te atiende, reclamá. Podés denunciar ante la URCDP, en línea o en forma presencial, o promover la acción de habeas data ante la Justicia.

Si lo que se filtró es tu cédula o una foto de ella, los pasos específicos están en me robaron la cédula.

Si la vulneración ocurre en un proveedor

Muchas filtraciones no ocurren en la oficina, sino en un proveedor: el sistema de facturación, el correo en la nube, el software de sueldos, la empresa que guarda los respaldos. Para la ley, ese proveedor es un encargado del tratamiento, y las reglas cambian un poco.

El encargado que conoce la vulneración la comunica de inmediato al responsable (Decreto 64/020, artículo 4). Y el responsable, que es tu empresa, sigue siendo quien comunica a la URCDP y a los titulares. Es decir, que la filtración haya sido en el proveedor no te saca del medio: te cambia el punto de partida de las 72 horas, que corren desde que la conocés.

Tres cosas conviene tener en el contrato con cada proveedor que trata datos por tu cuenta: la obligación de avisarte de inmediato y por escrito, qué información te tiene que dar para que puedas comunicar a la URCDP, y que no use los datos para otro fin ni los ceda, como ya exige el artículo 30 de la Ley 18.331. Si el contrato no dice nada, es un buen momento para agregarlo.

Errores frecuentes en las primeras 72 horas

• Esperar a saberlo todo. Las 72 horas corren desde que se conoce la vulneración. Una comunicación con lo que se sabe, completada después, es mejor que una completa fuera de plazo.
• Borrar antes de anotar. Borrar el correo, el chat o el archivo sin dejar registro de qué había y cuándo salió hace imposible evaluar el riesgo después.
• Decidir solo. La persona que cometió el error no es la mejor para evaluar si hay afectación significativa. Que lo mire el responsable designado.
• Avisar al cliente antes de entender. Un aviso apurado que después hay que corregir genera más desconfianza que uno claro al día siguiente.
• Olvidar al seguro. Si hay póliza, su plazo de denuncia corre en paralelo y es corto.

Prepará la respuesta antes de que pase

Las 72 horas se van rápido cuando nadie sabe qué hacer. Lo que conviene tener listo:

• Una persona responsable de coordinar la respuesta, y un suplente.
• Una lista de contactos: proveedores de informática, asesor legal, aseguradora, el delegado de protección de datos si corresponde.
• El registro de incidentes, ya armado.
• Un modelo de comunicación a la URCDP y otro de aviso a clientes.
• Un inventario de datos: qué bases tenés, dónde están y quién accede. Sin él, no se puede saber qué se vio afectado.
• Respaldos probados, no sólo hechos.

Y si tenés o pensás contratar un seguro, revisá qué cubre si el incidente es un error humano y no un ataque. Lo contamos en seguro de ciberseguridad.

Un ejemplo: lo que habría llegado al chat

Este es un texto que alguien de una oficina pegó en un chat para que lo ayude a escribir un correo:

Cliente: Gustavo Moreira Sosa
Pasaporte: C0000000
Correo: cliente@example.com
Celular: +598 99 000 000
Viaja el mes que viene y necesita que le adelantemos el contrato firmado antes del viernes.

Y esto es lo que habría llegado al chat después de pasarlo por Nonimo, tal cual:

Cliente: [PERSONA_1]
Pasaporte: [PASAPORTE_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Viaja el mes que viene y necesita que le adelantemos el contrato firmado antes del viernes.

Con el texto original, la empresa tiene que preguntarse si hay una vulneración que comunicar. Con el segundo, el chat recibió una pregunta sobre plazos y un contrato, sin el nombre, el pasaporte ni los datos de contacto del cliente. La evaluación es mucho más sencilla, porque lo que salió ya no lo señala.

Cómo evitar que vuelva a pasar

La mayoría de las filtraciones de una pyme no son ataques sofisticados: son errores de todos los días. Tres medidas cubren buena parte del riesgo:

Reglas escritas. Qué herramientas se usan, con qué cuenta, y qué datos no se pegan nunca. Firmadas por cada persona.

Menos datos en circulación. Lo que no se manda no se filtra. Antes de adjuntar una planilla entera, preguntarse si hace falta; antes de pegar un texto en un chat, tapar los datos.

Una forma de tapar que no dependa de la memoria. Nonimo es una app para Windows y Mac que, antes de que el texto llegue a ChatGPT, Claude, Copilot o Gemini, cambia por etiquetas los nombres, correos, celulares y teléfonos con el +598, direcciones, el pasaporte y el número de historia clínica, y los devuelve a su lugar cuando copiás la respuesta. Una tecla. Lo ves todo: cada dato tapado se marca en pantalla y se deshace con un clic. Si un dato queda a la vista (por ejemplo, la cédula o el RUT), seleccionalo y hacé clic en Tapar. Tu texto se tapa en tu computadora; a Nonimo no le llega. Más en la página de seguridad.

Nonimo no reemplaza tu plan de respuesta a vulneraciones. Reduce el número de vulneraciones que vas a tener que responder.

Fuentes

Consultadas el 24 de octubre de 2026 en IMPO y gub.uy.

• Ley 18.331, de Protección de Datos Personales, Documento Actualizado. Texto en IMPO. Artículos 10, 11, 14 y 35.
• Ley 19.670, artículo 38. Texto en IMPO.
• Decreto 64/020. Texto en IMPO. Artículos 3, 4 y 5.
• Ley 20.327, de prevención y represión de la ciberdelincuencia. Texto en IMPO. Código Penal, artículo 297-BIS y artículo 297-QUATER.
• Código Penal, artículo 302. Texto en IMPO.
• Unidad Reguladora y de Control de Datos Personales: denuncias y publicaciones, con la guía de vulneraciones de seguridad.

Esta guía resume la normativa y no reemplaza la asesoría de un abogado.