Tanto el Estado como las empresas recogen hoy una cantidad excesiva de datos sobre las personas: registros estatales, bases de datos KYC, facturas electrónicas, eKasa (el sistema eslovaco obligatorio de cajas registradoras en línea). Tarde o temprano, alguna de estas bases de datos se filtrará. Es exactamente lo que ocurrió a finales de septiembre de 2026 en Polonia. Los atacantes accedieron a los servidores de Fakturownia, un popular servicio de facturación que las empresas utilizan también para enviar facturas al sistema estatal de factura electrónica obligatoria KSeF. Según el comunicado de la propia empresa, el incidente afecta a todas las cuentas y podrían haberse filtrado nombres, números de identificación fiscal y direcciones tanto de las empresas como de sus clientes, importes de facturas, pagos con números de cuenta y claves API.

Cuando una base de datos se filtra, el riesgo lo asumen las personas cuyos datos han acabado en la darknet. La administración les envía una carta informativa, la empresa un correo de disculpa, y casi nadie recibe una indemnización.

Conozco personalmente a alguien cuyos datos KYC se filtraron. Unos estafadores se registraron con sus datos en exchanges de criptomonedas y cometieron fraudes en su nombre una y otra vez en distintos países. Aunque pidió documentos nuevos, está completamente desesperado, porque su nombre y apellidos ya figuran en las listas negras de una cantidad enorme de servicios. Nada de esto habría tenido por qué pasar si no le hubieran obligado a someterse a un proceso KYC que no era en absoluto imprescindible para lo que tenía que hacer.

Francia: de la filtración de datos a los secuestros

Según un análisis de Chainalysis de agosto de 2026, antes de 2025 en Francia solo se conocían unos pocos ataques violentos contra poseedores de criptomonedas. En 2025 fueron 19, y solo en el primer semestre de 2026 ya iban 30. A finales de junio de 2026, el ministro del Interior francés, Laurent Nuñez, habló de más de 70 casos documentados. En más del 40 % de los casos franceses, los atacantes no fueron a por el propio poseedor de las criptomonedas, sino a por sus familiares.

Chainalysis señala como causa más probable una filtración de datos. Un empleado de la administración tributaria de la región de París habría robado en 2024 los expedientes de poseedores de criptomonedas adinerados y se los habría vendido a delincuentes: nombres, direcciones, números de teléfono, patrimonio y registros fiscales.

En este contexto, los medios describen el caso de una antigua empleada de la oficina tributaria de Bobigny que, según los investigadores, buscaba en el sistema tributario a inversores en criptomonedas e incluso la dirección de un funcionario de prisiones al que en septiembre de 2024 agredieron brutalmente en su casa. Admitió que pasaba la información a terceros; los investigadores le encontraron depósitos en efectivo y transferencias a través de Western Union.

Además, en el verano de 2026, unos atacantes con credenciales robadas extrajeron de la administración tributaria francesa, la DGFiP, datos de 678 000 personas y empresas. El Estado recoge los datos y no es capaz de protegerlos.

Solución radical: al trullo por cada filtración

Establecer la responsabilidad penal por cualquier filtración de datos.

Un funcionario acabaría de verdad en el trullo si alguien hackeara la base de datos estatal de ciudadanos de la que es responsable. Lo mismo valdría para el operador de una base de datos KYC, de facturas electrónicas (en inglés) o de otros sistemas que hace solo unos años nadie necesitaba y que hoy solo sirven para espiar masivamente a la población.

Esto tendría el siguiente efecto:

1. La seguridad de todos los sistemas que recogen cualquier tipo de datos personales aumentaría de forma notable (porque habría cárcel de por medio).
2. Como la seguridad es cara y nadie quiere ir a la cárcel, surgiría una fuerte presión para eliminar todos los mecanismos de espionaje que no sean imprescindibles para el funcionamiento del servicio.

La mayoría de los servicios pueden funcionar sin KYC. Los exchanges, las tiendas online y los operadores móviles pueden operar técnicamente en modo anónimo o seudónimo. Que hoy en la UE MiCA y las normas contra el blanqueo de capitales (AML) se lo prohíban a los exchanges no es más que la consecuencia de que nadie tenga que pagar por la filtración de datos personales, lo que hace que recogerlos masivamente salga barato. Al fin y al cabo, el modo anónimo responde exactamente al espíritu del principio de minimización de datos del RGPD: según el art. 5, apdo. 1, letra c), los datos personales deben ser «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados».

El resultado sería una privacidad mucho mayor para todos los ciudadanos. Habría menos secuestros cripto y menos trapicheo con los datos recopilados, y en los mercados de la darknet se podrían comprar muchas menos bases de datos filtradas.

Si alguien quiere KYC y espionaje masivo, que los implante tranquilamente. Pero que, al mismo tiempo, designe a personas concretas que serán penalmente responsables y acabarán en el trullo cuando alguien hackee esa base de datos y abuse de ella.

Solo que eso nunca va a ocurrir, porque el Estado quiere espiarle en cualquier circunstancia (en inglés), aunque sea a costa de poner su privacidad en el máximo peligro. Las víctimas francesas de los secuestros cripto de las que hablamos más arriba podrían contarle algo al respecto. Y el Estado, por supuesto, no quiere asumir ni asumirá nunca responsabilidad alguna por nada.

Una solución más justa: un precio para cada registro

Ahora bien, meter a alguien en la cárcel solo porque le hayan hackeado no sería justo. No existe ningún sistema inhackeable, y nadie debería ir a prisión por una vulnerabilidad 0-day que otro utilizó contra él. Una versión más justa y, a la vez, más eficaz sería esta:

• Una indemnización fija por cada registro filtrado, pagada directamente a las personas afectadas. De forma automática, sin tribunales y sin tener que demostrar el daño. Por ejemplo, 500 € por cada registro con datos sensibles, como el número de nacimiento (rodné číslo, el número personal eslovaco), el número de documento o la firma, de modo que la filtración de una base de datos con un millón de personas costaría 500 millones de €.
• Responsabilidad penal solo por negligencia grave y por ocultar la filtración. Por negligencia grave entiendo, por ejemplo, un sistema sin actualizar durante años, contraseñas almacenadas de forma legible (en texto plano) o la recogida de datos que el servicio no necesita en absoluto.
• Si la recogida la ordena el Estado, la indemnización la paga el Estado. Sí, la pagaremos todos con nuestros impuestos. Pero precisamente así quedará mucho más a la vista cuánto nos cuesta realmente el espionaje masivo. Cada nuevo registro, como la factura electrónica obligatoria o el KYC obligatorio, tendría un precio claro en los presupuestos.

El efecto: las aseguradoras empezarían a poner precio a cada registro almacenado. La seguridad más barata sería no recoger los datos en absoluto. Así, no sería un funcionario quien decidiera cuántos datos merece la pena conservar, sino el mercado.

Si quiere recoger información, sea la que sea, perfecto, pero tendrá que contratar un seguro y le saldrá caro. Tendrá, por tanto, un claro incentivo económico para que el diseño y la prestación de su servicio prescindan de la recogida de datos personales.

Y las personas cuyos datos se filtraron recibirían por fin una indemnización. No solo un correo del tipo «Es posible que sus datos se hayan visto comprometidos; le recomendamos cambiar su contraseña».

Los economistas lo llaman externalidad negativa. Hoy, una filtración de datos es como un río contaminado: el beneficio de la recogida se lo queda el operador y el daño lo sufren otros. La indemnización fija no es más que el viejo principio de «quien contamina paga» aplicado a los datos. Bruce Schneier ya lo resumió en 2016 en su ensayo Data Is a Toxic Asset: los datos son un activo tóxico y almacenarlos es peligroso.

¿Por qué precisamente 500 €?

Es una cifra orientativa para datos sensibles. La tarifa debería crecer en función de cuánto daño pueda causarle la filtración a una persona:

• correo electrónico o número de teléfono: del orden de unos pocos euros,
• nombre con dirección: decenas de euros,
• número de nacimiento, número de documento, firma, datos de salud o patrimoniales: cientos de euros,
• dirección junto con datos patrimoniales, es decir, exactamente lo que en Francia les sirvió a los secuestradores como lista de objetivos: todavía más.

Así es exactamente como razonaría una aseguradora. Y la empresa descubriría muy rápido que no necesita el número de nacimiento del cliente para prestar el servicio.

Un ejemplo de Eslovaquia

Desde el 17 de agosto de 2026, el Registro Mercantil eslovaco publica, por imperativo legal, los números de nacimiento, las direcciones de residencia permanente, los números de documento de identidad y las muestras de firma (en inglés) de los administradores y socios de cerca de medio millón de empresas. Hablamos de cientos de miles de personas. La publicación es peor que una filtración, porque es permanente y está al alcance de cualquiera, así que debería computarse igual. A 500 € por registro, el Estado pagaría cientos de millones de euros por esta única decisión legislativa. Creo que con semejante precio el Parlamento se lo pensaría dos veces.

Hoy funciona al revés

Es cierto que el RGPD, en su art. 82, reconoce a toda persona que haya sufrido daños a causa de una infracción el derecho a una indemnización, pero tiene que reclamarla ante los tribunales y demostrar el daño. La mera infracción del RGPD no basta para obtener una indemnización, como confirmó en 2023 el Tribunal de Justicia de la UE en la sentencia C-300/21 (Österreichische Post). Y las multas de las autoridades de control van a parar a las arcas del Estado, no a las personas cuyos datos se filtraron.

Qué dice el RGPD: lo mejor es no recoger

No es nada exótico. El RGPD ya recomienda exactamente esto hoy en día, solo que las víctimas no sacan nada de ello:

• No recoger en absoluto. Según el art. 25, apdo. 2, del RGPD, el responsable debe garantizar que, por defecto, «solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento». Esto se aplica a la cantidad de datos, a la extensión del tratamiento, al plazo de conservación y también a quién tiene acceso a ellos.
• Anonimizar. Según el considerando 26, el RGPD no se aplica en absoluto a los datos anónimos, y un dato verdaderamente anónimo no pone en peligro a nadie, ni siquiera si se filtra. Sin embargo, la anonimización real es más difícil de lo que parece. Ya en el año 2000, Latanya Sweeney demostró que el código postal, la fecha de nacimiento y el sexo bastan para identificar de forma unívoca al 87 % de la población de EE. UU. No basta con borrar el nombre de la base de datos.
• Seudonimizar. Si de verdad no se puede prescindir de los datos personales, el art. 25, apdo. 1, y el art. 32, apdo. 1, letra a), mencionan la seudonimización y el cifrado como medidas de protección básicas. Cómo llevarlo a la práctica lo detalla el Comité Europeo de Protección de Datos en sus Directrices 01/2025 sobre la seudonimización y en sus Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto.

Una indemnización fija por cada registro filtrado convertiría estas recomendaciones en una dura realidad económica.

Objeciones

«El KYC es imprescindible en la lucha contra el blanqueo de capitales». Las pruebas de su eficacia son muy débiles. Según el análisis de Ronald Pol (2020), las normas contra el blanqueo de capitales alcanzan a menos del 0,1 % de los beneficios procedentes de actividades delictivas. Su coste lo pagan todos los clientes cuyos datos se recogen y, cuando hay una filtración, lo pagan también con su privacidad.

«Esto hundiría a las empresas». A las que recogen mucho más de lo que necesitan, sí. De eso se trata precisamente. Una empresa que solo guarda los datos imprescindibles pagará poco por el seguro.

«¿Cómo saber de qué base de datos procede la filtración?» Las bases de datos filtradas suelen poder atribuirse por su estructura y su contenido. Además, un operador honrado puede introducir en su base de datos registros de control (canary records): si no aparecen en los datos filtrados, puede demostrar fácilmente que la filtración no procede de él. Y también por eso ocultar una filtración debe ser delito.

Qué supondría para nosotros como empresa

Como dueño de una empresa, me imagino perfectamente aplicando la solución de la indemnización fija también a nuestros propios clientes, sobre los que recogemos información. Y me parece justo.

Pero como empresa no podemos dejar de recoger absolutamente nada sobre nuestros clientes. Según el § 74 de la Ley eslovaca del IVA, una factura debe incluir el nombre, la dirección y el NIF-IVA del cliente, y según el § 76 tenemos que conservarla durante 10 años.

Aunque nos gustaría prestar nuestros servicios de forma anónima y a cambio de criptomonedas anónimas, por desgracia no es posible. Puede pagarnos también con stablecoins con un 4 % de descuento (en eslovaco), pero la factura con nombre y dirección tenemos que emitirla de todos modos. El Estado nos obliga a recoger información personal de los clientes y, después, también a protegerla.

Algo parecido les pasa a los operadores móviles. En Chequia, una SIM de prepago todavía se puede comprar sin identificarse. En cambio, un operador eslovaco, según el § 86, apdo. 2, letra b) de la Ley eslovaca de Comunicaciones Electrónicas, tiene que obtener y registrar datos incluso del cliente con SIM de prepago, con el alcance que fija el § 110, apdo. 2, letra a): nombre, dirección de residencia permanente, número de nacimiento, número del documento de identidad y nacionalidad.

En mi opinión, la presión para indemnizar a las víctimas haría que también esta legislación cambiara. El seguro contra filtraciones le saldría más caro a un operador eslovaco, que tiene que registrar los números de nacimiento de sus clientes de prepago, que a uno checo, que no está obligado a hacerlo.

Cómo evitar, al menos en parte, el registro obligatorio de la tarjeta SIM lo explicamos en el artículo Cómo maximizar el anonimato al acceder a Internet desde el móvil (en inglés).

Los incentivos económicos harían que en toda la sociedad solo se recogiera la información realmente imprescindible para prestar o ejecutar un servicio. Y no la recogida excesiva que nace de que el Estado y sus funcionarios quieren tener el máximo control sobre la población: KYC, eKasa (en eslovaco), factura electrónica (en inglés), etc.

Para terminar

Los datos que no recoge no pueden filtrarse, no se pueden vender y nadie va a llamar por ellos a la puerta de su familia.

Mientras el operador no tenga que indemnizar a las víctimas, le saldrá más barato que se filtre su base de datos que protegerla, y tanto el Estado como las empresas seguirán recogiéndolo todo.

Basta con ponerle precio a cada registro y el mercado se encargará del resto.