Mis datos se filtraron en una brecha de seguridad: ¿puedo reclamar una indemnización?

La mayoría de la gente se queda en el email breve que dice "es posible que tus datos se hayan visto afectados". Tú no tienes por qué. En la UE y el Reino Unido, el RGPD te permite preguntar a la empresa qué pasó exactamente, y tiene que responderte en el plazo de un mes. Si la filtración te causó daños, puedes reclamar una indemnización con el artículo 82. Eso cubre el dinero que hayas perdido y los daños inmateriales, incluido el miedo a que se haga un mal uso de tus datos. La filtración por sí sola no basta: tienes que demostrar el daño.

Lo que te debe la empresa tras una filtración

Cuando es probable que una filtración entrañe un alto riesgo para ti, la empresa debe comunicártelo sin dilación indebida, en un lenguaje claro y sencillo. La comunicación debe indicar las consecuencias probables, qué ha hecho la empresa ante la filtración y con quién puedes contactar, por ejemplo con su delegado de protección de datos.

También debe notificar la filtración a su autoridad de protección de datos en un plazo de 72 horas desde que tenga constancia de ella, salvo que no sea probable que entrañe un riesgo.

Después puedes pedir más. Con el artículo 15 puedes obtener una copia de los datos que la empresa tiene sobre ti, saber a quién se los ha comunicado y de dónde proceden. La empresa debe responder en el plazo de un mes. Puede ampliarlo dos meses más en solicitudes complejas, pero debe avisarte dentro del primer mes y explicarte por qué.

Cuándo puedes reclamar una indemnización

El Tribunal de Justicia de la UE fijó el criterio en 2023. Necesitas tres cosas a la vez:

• Una infracción del RGPD, como una seguridad insuficiente para proteger tus datos.
• Un daño: dinero que hayas perdido o un daño inmaterial.
• Una relación entre ambos: el daño se debe a la filtración.

No hay un umbral mínimo de gravedad para el daño inmaterial. Pero el tribunal dejó claro que una filtración no da derecho a una indemnización por sí sola. Tienes que demostrar cómo te ha afectado.

"Nos han hackeado" no zanja el asunto

Las empresas suelen responder que fueron víctimas de un ataque delictivo. El tribunal analizó justo eso en diciembre de 2023, tras un hackeo a la agencia tributaria búlgara.

• El miedo cuenta. El temor a un posible uso indebido de tus datos puede constituir por sí mismo un daño inmaterial.
• La carga de la prueba es suya. La empresa debe demostrar que sus medidas de seguridad eran adecuadas.
• Un hackeo no prueba nada por sí solo. No demuestra por sí mismo que su seguridad fallara, pero tampoco la libra de responsabilidad.

Según el artículo 82.3, la empresa solo queda exenta de responsabilidad si demuestra que no es en modo alguno responsable.

En el Reino Unido, el UK GDPR tiene el mismo artículo 82, pero los tribunales británicos no están vinculados por estas sentencias de la UE, así que deciden el criterio por su cuenta.

Ante quién reclamar

Puedes reclamar ante la autoridad de protección de datos del país donde vives, donde trabajas o donde se produjo la filtración.

País	Autoridad de protección de datos
Francia	CNIL
Alemania	La autoridad de protección de datos de tu estado federado (el BfDI a nivel federal)
España	AEPD
Italia	Garante per la protezione dei dati personali
Portugal	CNPD
Países Bajos	Autoriteit Persoonsgegevens
Polonia	UODO
Bélgica	APD-GBA
Irlanda	Data Protection Commission
Reino Unido	Information Commissioner's Office (ICO)

La autoridad puede investigar y ordenar a la empresa que actúe. No concede indemnizaciones: esas las paga la empresa o las fija un tribunal.

Cómo reclamar, paso a paso

1. Protégete primero. Cambia las contraseñas expuestas, activa la verificación en dos pasos y avisa a tu banco si había datos de tarjeta o bancarios.
2. Guárdalo todo. La notificación de la filtración, cada SMS fraudulento, llamada o intento de inicio de sesión desde entonces, y los justificantes de cualquier gasto.
3. Lleva un breve diario. Fecha, qué hiciste, cuánto tiempo te llevó y cómo te afectó. Es tu prueba del daño inmaterial.
4. Escribe al delegado de protección de datos. Pregunta qué datos se vieron afectados, cuándo, qué hicieron y si lo notificaron. Pide una copia de tus datos.
5. Reclama en el mismo mensaje. Menciona el artículo 82, expón tus daños e indica la cantidad que reclamas. La cantidad la decides tú: básate en tus justificantes y en una descripción sincera de cómo te ha afectado.
6. Pon una fecha. Un mes, como exige el artículo 12.3.

El mensaje que debes enviar

Asunto: Brecha de seguridad notificada el 14 de octubre de 2026: solicitud de información e indemnización

Soy cliente suyo (n.º de cliente 4471920). Su email del 14 de octubre de 2026 indica que mis datos personales se vieron afectados por una brecha de seguridad en sus sistemas.

Conforme a los artículos 15 y 34 del RGPD, les solicito que me indiquen exactamente qué datos míos se vieron afectados, cuándo se produjo la brecha y cuándo tuvieron conocimiento de ella, qué han hecho para contenerla y si la notificaron a la autoridad de protección de datos y, en su caso, cuándo. Les ruego también que me envíen una copia de los datos personales que tienen sobre mí.

Desde la brecha he recibido cuatro SMS de phishing con mi nombre y los datos de mis pedidos, y he dedicado unas cuatro horas a cambiar contraseñas y revisar mis cuentas. Conforme al artículo 82 del RGPD, reclamo una indemnización de €300 por la inquietud y el tiempo que todo esto me ha supuesto.

Les ruego que respondan en el plazo de un mes, a más tardar el 14 de noviembre de 2026, como exige el artículo 12.3.

Cambia los datos por los tuyos. Adjunta la notificación y tus capturas de pantalla.

Plazos y qué hacer si se niegan

• Sin respuesta al cabo de un mes: envía un recordatorio breve con una fecha límite a 14 días vista.
• Una negativa o una oferta baja: presenta una reclamación formal. Cita el artículo 82.3 y las sentencias del tribunal de 2023, y pide su posición definitiva por escrito.
• Si siguen diciendo que no: reclama ante la autoridad de protección de datos y, para la indemnización, acude a los tribunales. Puedes demandar donde la empresa tenga un establecimiento o donde vivas. Para importes pequeños existen procedimientos de escasa cuantía, y el proceso europeo de escasa cuantía sirve si la empresa está en otro país de la UE.
• Los plazos judiciales los fija la ley de cada país. Consulta el tuyo antes de que se te pase.

Si hay muchos afectados, pregunta a una organización de consumidores si ya existe una demanda colectiva.

En resumen

Pregunta a la empresa qué ha pasado con tus datos y consigue una copia en el plazo de un mes. Si la filtración te ha costado dinero, tiempo o tranquilidad, reclama una indemnización con el artículo 82 y tus pruebas. "Nos han hackeado" no es, por sí solo, una defensa. Si se niegan, reclama ante la autoridad de protección de datos y lleva la reclamación a los tribunales.

Preguntas

¿Cuánto me pueden pagar de indemnización por una filtración de datos?

El RGPD no fija importes, así que los deciden los tribunales de cada país. Tus gastos reales cuentan íntegramente, y por el malestar la cantidad depende de lo que puedas demostrar sobre cómo te ha afectado la filtración.

La empresa dice que nadie ha hecho un mal uso de mis datos todavía. ¿Puedo reclamar igualmente?

Sí. El Tribunal de Justicia de la UE resolvió que el temor a un posible uso indebido de tus datos puede constituir por sí mismo un daño inmaterial, pero aun así tienes que demostrar que lo has sufrido.

¿La autoridad de protección de datos me conseguirá una indemnización?

No. La autoridad puede investigar y ordenar a la empresa que actúe, pero la indemnización la paga la propia empresa o, si se niega, la fija un tribunal.

Me ofrecen un servicio gratuito de monitorización de crédito. ¿Debo aceptarlo?

Es una protección útil, pero no compensa los daños que ya has sufrido. Lee bien la oferta: si dice que cierra tu reclamación, aceptarla pone fin a la reclamación.

Información general, no asesoramiento jurídico. Las normas cambian y dependen de dónde vivas: consulta la fuente oficial antes de fiarte de una fecha o un importe.

Fuentes

• RGPD, Reglamento (UE) 2016/679, artículos 12, 15, 33, 34, 77 y 82 (EUR-Lex, consultado el octubre de 2026)
• Tribunal de Justicia de la UE, asunto C-300/21, 4 de mayo de 2023 (consultado el octubre de 2026)
• Tribunal de Justicia de la UE, asunto C-340/21, 14 de diciembre de 2023 (consultado el octubre de 2026)
• Comité Europeo de Protección de Datos: autoridades nacionales de protección de datos (consultado el octubre de 2026)