Has metido el DNI, el teléfono o la clave en una página que imitaba a tu banco o a una tienda. El primer daño es el dinero, si salió. El segundo es que esos datos circulan. El Reglamento general de protección de datos te reconoce derechos frente a quien trata tus datos: acceso, rectificación, supresión, oposición, limitación y portabilidad, según el caso. Esos derechos se ejercen contra un responsable identificable. No se ejercen mandando un email al estafador para que «borre tu ficha».
Contra quién sí, y contra quién no
| Responsable | Qué puedes pedir |
|---|---|
| Tu banco o la tienda real, si el phishing usó su marca | Que te expliquen si han tenido un incidente y qué están haciendo. Cambiar claves es inmediato, no hace falta esperar a su carta |
| Una empresa que te escribe porque compró o recibió tus datos | De dónde los sacó, y la supresión u oposición si no hay base para seguir usándolos |
| Un fichero de morosos | La baja si la deuda no es cierta. El detalle está en salir del fichero |
| El autor del phishing | Denuncia. No es un responsable al que le pidas un formulario de derechos |
El plazo general de respuesta es de un mes. Si no contestan o la respuesta es una negativa sin motivo, puedes reclamar ante la Agencia Española de Protección de Datos. La reclamación es gratuita. No pagues a un intermediario por presentarla.
Qué hacer con las claves antes que con el formulario
- Cambia las contraseñas desde un dispositivo que no haya abierto el enlace, empezando por el correo.
- Avisa al banco y revisa beneficiarios y adeudos. Si hubo un cargo, el escrito es el de la reclamación al banco.
- Si metiste un certificado o la clave de la administración, revócalo por el canal oficial, como se indica en revocar el certificado y Cl@ve.
- Denuncia. Los datos robados son parte del relato, no un anexo menor. El cauce está en cómo denunciar.
Supresión no es olvido mágico. Quien tuvo el dato puede haberlo copiado. Pedir la baja a una empresa seria evita usos posteriores de esa empresa. No recupera un archivo que ya está en otras manos. Por eso la denuncia y el cambio de claves van primero.
Si te llaman porque «tus datos están a la venta»
Cuelga si te piden dinero para borrarlos de una supuesta web. Es una extorsión o una segunda estafa, no el ejercicio de un derecho. No entres en la página que te mandan para «verificar» la filtración. El patrón de cobrar por arreglar el daño anterior está descrito en estafas de recuperación. Si el miedo es real, el 017 de INCIBE orienta en la parte técnica sin pedirte una transferencia.
Anota qué dato crees que se vio y cuál no. No pongas en la solicitud de supresión el número completo de la cuenta si no hace falta: basta indicar que se trata de ese dato y la fecha del phishing. Cuanto menos repitas la información sensible, mejor. Si una empresa te pide, para borrar tus datos, que se los vuelvas a enviar «para localizarte», ofrece otro identificador, como el correo desde el que escribes, y no reenvíes el documento por el mismo canal que ya falló. Guarda su respuesta aunque sea un acuse automático: la fecha de un mes empieza cuando ellos reciben la solicitud, y ese acuse es lo que lo prueba. Si no hay acuse, manda la solicitud por un medio que deje constancia de la entrega, no solo por un formulario que no confirma nada. Sin esa fecha, la reclamación ante la Agencia se discute por un plazo que no puedes demostrar. Anota también qué dato pediste borrar, para no ampliar la solicitud a cosas que esa empresa ni siquiera tiene.
Qué hacer ahora
Cambia hoy las claves y avisa al banco. Mañana, si una empresa concreta sigue usando tus datos, pídele por escrito la supresión y guarda el envío. Con el silencio de un mes se puede acudir a la AEPD. Si no sabes qué dato llegó a salir —solo el correo, o también el documento—, no inventes una lista: dilo así en una consulta. El derecho se ejerce contra quien trata el dato, no contra el anuncio que te engañó.
