Si se filtra la información de los usuarios del sitio o de la App, remedia de inmediato, avisa a los usuarios y a la autoridad, y si te atacaron denuncia ante la policía

Si la información de los usuarios se filtra, o puede filtrarse, tienes que remediarlo enseguida y avisar a la autoridad competente y a los usuarios afectados. Si lo tapas y no lo reportas, primero te ordenan corregir; si no corriges, multa de hasta 1000000 de yuanes, y en los casos graves multa de hasta 50000000 de yuanes. Si el usuario sufre un daño por eso y tú no puedes probar que no tuviste culpa, tienes que indemnizar. Quien ya tenía protección, actuó según la pauta y reportó a tiempo puede, según el caso, recibir un trato más leve o que no se le exija responsabilidad.

Costo

No cuesta dinero. Hay que tener escrita de antemano una pauta para cuando pase: quién decide, qué agujero se tapa primero y cómo se redacta el aviso a los usuarios. Lo difícil es que, en el momento, el instinto es taparlo y no querer que los usuarios se enteren.

Beneficio

El texto de la Ley de protección de datos personales dice: «si se produce o puede producirse una filtración, alteración o pérdida de datos personales, el responsable del tratamiento debe adoptar de inmediato medidas de remedio y notificarlo al departamento que cumple las funciones de protección de datos personales y a la persona». El aviso tiene que decir 3 cosas: qué clase de información se filtró, la causa y el daño posible; qué remedio hiciste y qué puede hacer el propio usuario para reducir el daño; y tu contacto. Si tu remedio de verdad evita el daño, puedes no avisar al usuario. Pero si la autoridad competente considera que puede causar daño, tiene derecho a exigirte que avises. El Reglamento de gestión de la seguridad de los datos en red dice que el aviso puede hacerse «por teléfono, mensaje de texto, herramienta de mensajería instantánea, correo electrónico o anuncio, entre otros medios». Si al atenderlo aparecen indicios de un posible delito, hay que denunciarlo ante los órganos de seguridad pública y los órganos de seguridad del Estado. Quien no cumpla estas obligaciones recibe la orden de corregir, una advertencia y la confiscación de las ganancias ilícitas, y a la App ilegal se le puede ordenar suspender o terminar el servicio. Si se niega a corregir, multa de hasta 1000000 de yuanes, y a los responsables directos de 10000 a 100000 yuanes. En los casos graves, multa de hasta 50000000 de yuanes o de hasta el 5% de la facturación del año anterior, y a los responsables de 100000 a 1000000 de yuanes. En lo civil, si el usuario sufrió un daño por eso y tú «no puedes probar que no tuviste culpa, debes asumir la responsabilidad por infracción, incluida la indemnización del daño». Si la filtración es grande, además hay que reportarla a tiempo. Las medidas de la Administración del Ciberespacio de China dicen que filtrar datos personales de 1000000 de personas o más cuenta como «incidente de ciberseguridad de cierta gravedad». En ese tipo de incidente, un sitio o una App corrientes lo reportan a la autoridad de ciberespacio de su provincia, «a más tardar en 4 horas»; uno de los canales es la línea 12387. En los 30 días siguientes al cierre de la actuación hay que entregar además un informe de resumen. Quien reporte tarde, omita, mienta o oculte, y con eso cause un daño grave, recibe una sanción más dura. Al revés, quien ya adoptó una protección razonable y necesaria, actuó según la pauta y reportó a tiempo, «puede, según el caso, recibir un trato más leve o que no se le exija responsabilidad» (todo el país; las medidas de reporte, desde noviembre (11) de 2025).

Notas

Si un sitio pequeño filtra a unos cientos o unos miles de personas, también tiene que remediar y avisar conforme a la Ley de protección de datos personales; lo que no alcanza es el umbral del reporte en 4 horas. Al avisar al usuario, escribe en concreto qué puede hacer: qué contraseña cambiar y que desconfíe de las llamadas de quien se hace pasar por atención al cliente. Guarda los registros 6 meses: solo así, cuando pase algo, se puede ver por dónde se filtró; véase la sección 11, punto 16 (guardar los registros según la protección por niveles). Cómo se protege el propio usuario después de la filtración, véase la sección 14.

Fuentes · 4

1. 全国人大常委会 (2021). 个人信息保护法（第五十七、六十六、六十九条）. spp.gov.cn/spp/fl/202108/t20210820_527244.shtml
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十七、四十四、七十一条；2016 年文本为第二十五、四十二条）. cac.gov.cn/2025-12/29/c_1768735112911946.htm
3. 国务院 (2024). 网络数据安全管理条例（国务院令第 790 号，第十一条）. gov.cn/gongbao/2024/issue_11646/202410/conten…
4. 国家互联网信息办公室 (2025). 国家网络安全事件报告管理办法（第四、八、九、十、十一条，附件《网络安全事件分级指南》）. cac.gov.cn/2025-09/15/c_1759583017717009.htm