Un cliente reclama por una filtración en Taiwán: la respuesta de la empresa

Un cliente pide una explicación y una indemnización a la oficina taiwanesa de una empresa latinoamericana tras una intrusión en su directorio de contactos (situación hipotética). Su reclamación describe lo que considera expuesto; el equipo técnico todavía reconstruye los accesos. Para responder, la empresa necesita comparar esas dos versiones sin convertir lo alegado por el cliente, ni lo que falta por investigar, en un hecho confirmado.

Que haya ocurrido un ataque no decide por sí solo la indemnización. El artículo 29 de la Ley de Protección de Datos Personales, 個人資料保護法, obliga a una entidad privada a reparar el daño cuando su infracción causa una recogida, tratamiento o uso ilícito de datos u otra lesión de los derechos del afectado. Puede exonerarse si prueba ausencia de dolo o negligencia.

El escrito del cliente frente a los registros técnicos

¿Qué datos identifica la reclamación? Nombres, contactos y detalles financieros pueden permitir identificar a una persona directa o indirectamente y quedar comprendidos en el artículo 2. El informe técnico necesita precisar qué información estaba en el sistema afectado y qué se ha podido establecer sobre el acceso a ella. El simple restablecimiento del servicio no resuelve esas preguntas.

En la oficina local pueden conservarse la reclamación y la documentación de la relación con el cliente, mientras que los registros de acceso estén en manos del equipo de España o América Latina. Reunirlos permite relacionar cada afirmación con su respaldo. También deja visibles las lagunas. La identidad de la entidad que conserva o trata los datos debe comprobarse con la actividad real y la estructura de filial o sucursal; una dirección de servidor no la determina por sí sola.

Para valorar la defensa del artículo 29, interesan las medidas que existían antes de la intrusión. El artículo 27 vigente exige medidas de seguridad adecuadas a las entidades privadas que conservan archivos de datos personales y permite exigir planes de protección a las actividades designadas. Las autorizaciones de acceso y los controles documentados permiten discutir qué cuidado prestó la empresa. Ser también víctima del atacante no prueba esa diligencia; un ataque exitoso tampoco demuestra automáticamente negligencia.

Cada medida tiene una fecha. Una mejora aplicada durante la recuperación no demuestra por sí misma qué protección existía antes. Aunque la página del artículo 27 reformado muestra su supresión, esta sigue pendiente de entrada en vigor a 23 de octubre de 2026. La evaluación de las medidas existentes continúa siendo necesaria bajo el texto aplicable.

Una contestación con hechos, medidas y una posición sobre el daño

La parte informativa de la respuesta debe poder apoyarse en lo que la investigación ha aclarado. Conforme al artículo 12 actualmente aplicable, cuando una infracción de la ley causa sustracción, divulgación, alteración u otra vulneración de datos, debe notificarse adecuadamente a los afectados después de aclarar los hechos. Existe una condición legal. No basta con trasladar al cliente una conclusión genérica sobre la recuperación del sistema.

El contenido del aviso incluye los hechos de la vulneración y las medidas ya adoptadas, según el artículo 22 del reglamento de ejecución. Debe comunicarse con prontitud por un medio que permita al afectado conocerlo o tenerlo a su alcance. En la reclamación del ejemplo, la revisión jurídica puede contrastar cada frase de la contestación con el informe técnico: qué se afirma sobre los contactos y qué actuación efectivamente se ha realizado. Las cuestiones sin resolver deben seguir identificadas como tales.

Ese aviso tiene su propia base temporal. La versión reformada del artículo 12 prevé notificación desde el conocimiento de la vulneración, comunicación a la autoridad dentro de un ámbito determinado y medidas inmediatas de respuesta y registro. La reforma pertinente, de 11 de noviembre de 2025, continúa sin fecha de entrada en vigor en la fuente oficial consultada el 23 de octubre de 2026. Redactar la contestación con ese texto como si ya rigiera alteraría el criterio aplicable.

La petición económica requiere además examinar el daño alegado. Por remisión del artículo 29, se aplican los apartados 2 a 6 del artículo 28: incluyen daños no patrimoniales, valoración judicial cuando resulta difícil probar la cuantía real y reglas para daños a múltiples personas. La remisión no incorpora el régimen de los organismos públicos del apartado 1. La empresa privada necesita valorar su posición con el artículo 29 y sus propias pruebas; la existencia de una reclamación no fija por sí sola cuánto debe pagar.

La reclamación no determina el aviso al regulador

Mientras se prepara esa respuesta, hay otra documentación que revisar: la que permite identificar las autoridades y obligaciones aplicables a la empresa. El artículo 22 vigente de la ley de datos personales contempla facultades de inspección de las autoridades centrales sectoriales y de los gobiernos locales. Los avisos al regulador requieren examinar las reglas del sector, además de la notificación al cliente.

Una designación como proveedor de infraestructura crítica cambia el análisis de ciberseguridad. El artículo 20 de la Ley de Gestión de la Ciberseguridad, 資通安全管理法, prevé designación por la autoridad central del sector, aprobación del Yuan Ejecutivo tramitada por la autoridad competente y notificación escrita al proveedor. Ese documento permite comprobar una categoría concreta. La nacionalidad extranjera de la empresa no la acredita.

El artículo 3 incluye entre las entidades no gubernamentales específicas a esos proveedores, empresas públicas, determinadas fundaciones y entidades bajo control gubernamental. La competencia general corresponde al Ministerio de Asuntos Digitales, según el artículo 2. Una empresa tecnológica o un proveedor de semiconductores necesita encajar en la categoría legal; el tipo comercial por sí solo no basta.

Para las entidades comprendidas, el artículo 24 exige mecanismos de comunicación y respuesta y aviso del incidente a la autoridad central sectorial. El artículo 11 de las normas de comunicación, respuesta y simulacros fija una hora desde que se conoce el incidente, utilizando el medio designado. Si ese medio no funciona, debe comunicarse dentro del mismo plazo por otro adecuado, anotar el impedimento y completar el envío previsto cuando desaparezca. Resolver la petición económica del cliente no condiciona ese aviso. Fuera de esta categoría, siguen requiriendo examen las obligaciones de datos personales y las sectoriales.

Un abogado en Taiwán puede cotejar la reclamación con los resultados técnicos y las medidas de seguridad, preparar el aviso al afectado y la respuesta sobre indemnización, y comprobar las comunicaciones que correspondan a las autoridades. Para consultas jurídicas: wei@hoveringlaw.com.tw. Oficinas: 7F-2, n.º 35, sec. 1 de Chengde Rd., distrito de Datong, Taipéi; 6F-1, n.º 19 de Guanqian Rd., distrito Norte, Taichung (臺中市北區館前路19號6樓之1). En el ejemplo, la respuesta que reciba el cliente debe poder sostenerse con los accesos comprobados y las medidas documentadas, dejando reconocibles las preguntas que la investigación aún no ha resuelto.

Fuentes

Consulta: 23 de octubre de 2026.

• Ley de Protección de Datos Personales (個人資料保護法): artículo 2, artículo 12 reformado y estado de vigencia, supresión del artículo 27 pendiente de vigencia, artículos 12, 22 y 27 aplicables, artículo 28, artículo 29.
• Reglamento de ejecución de la ley de datos personales (個人資料保護法施行細則): artículo 22.
• Ley de Gestión de la Ciberseguridad (資通安全管理法): artículo 2, artículo 3, artículo 20, artículo 24, historial de entrada en vigor: 1 de diciembre de 2025.
• Normas de comunicación, respuesta y simulacros de ciberseguridad (資通安全事件通報應變及演練辦法): artículo 11.