En mayo de 2024, el grupo bancario Santander sufrió un ciberataque que afectó a millones de sus clientes y empleados alrededor del mundo, con impacto especialmente grave en Chile, España y Uruguay. Poco más de dos años después, el Servicio Nacional del Consumidor de Chile (Sernac) ha presentado una demanda colectiva contra Santander, acusando al banco de negligencia en la protección de datos personales y reclamando indemnizaciones considerables para los afectados.
El ataque informático tuvo como consecuencia la filtración de datos de una base con 4,9 millones de consumidores, donde se alojaba información sensible y personal, incluidos datos de identidad, contactos y detalles contractuales. Las autoridades chilenas sostienen que estos datos habrían sido puestos a la venta en foros ilegales de la dark web, lo que agrava la gravedad del incidente.
Según la notificación judicial emitida por Sernac, Santander no habría implementado protocolos adecuados de autenticación para proteger el acceso a sus sistemas, situación que se traduce en una vulnerabilidad que facilitó el acceso no autorizado. Esto configura, en opinión del regulador, una falta clara en las medidas de seguridad que el banco debía garantizar a sus clientes.
La demanda presentada solicita que la entidad bancaria pague una multa calculada por cada consumidor afectado, estableciendo un límite de hasta el 30% de las ventas de los productos o servicios implicados en el suceso. Además, exige que se otorguen reparaciones no indemnizatorias y las correspondientes indemnizaciones con sus reajustes e intereses, en respuesta al daño causado.
Desde la entidad financiera chilena, Santander se ha manifestado aclarando que el porcentaje mencionado en la demanda corresponde a una pretensión planteada por el Sernac y que no constituye un mecanismo automático según la ley vigente. El banco ha insistido en que cualquier indemnización debe estar basada en la demostración efectiva de los perjuicios, su extensión y relación directa con el incidente, aspectos que deberán ser evaluados por los tribunales en el curso del proceso judicial.
Este caso no es aislado. Los ciberataques contra grandes entidades financieras han aumentado en frecuencia e impacto en los últimos años, poniendo a prueba la resiliencia de los sistemas de seguridad informática en el sector. La filtración masiva de datos personales no solo afecta la confianza de los clientes, sino que también plantea desafíos regulatorios y legales en torno a la responsabilidad y el cumplimiento de normativas de protección de datos. En la Unión Europea, por ejemplo, el Reglamento General de Protección de Datos (RGPD) establece multas significativas para las empresas que no protegen adecuadamente los datos personales, un marco que ha marcado un antes y un después a nivel global en la gestión de la ciberseguridad.
Chile, con una legislación menos estricta en materia de protección de datos en comparación con Europa, ha potenciado la actuación de organismos como el Sernac para reforzar los derechos de los consumidores y usuarios afectados por incidentes como este. El caso de Santander subraya la necesidad de que las instituciones financieras refuercen sus protocolos de seguridad y transparencia para evitar consecuencias legales y reputacionales que pueden afectar a su negocio y a miles de personas.
Por otro lado, el resurgimiento de las negociaciones entre el Sernac y Santander durante los meses previos al proceso judicial refleja intentos por resolver el conflicto de forma extrajudicial, algo habitual en estos escenarios para evitar largos procesos judiciales y buscar compensaciones consensuadas. Sin embargo, el fracaso de estas negociaciones ha abierto la vía a la demanda colectiva, que concentra la reclamación de un amplio número de clientes afectados.
Este caso también pone en relieve el creciente mercado negro digital donde se trafican datos personales robados, un fenómeno que alimenta un ciclo de vulnerabilidades y ataques cada vez más sofisticados. La protección eficaz de la información y la responsabilidad corporativa en esta materia serán ejes centrales en la evolución de la legislación y la operativa bancaria en los próximos años.
Finalmente, la resolución de este proceso judicial será un referente para la región y un test sobre la capacidad regulatoria de autoridades como el Sernac frente a grandes corporaciones internacionales. La expectativa es alta, no solo por el volumen de consumidores afectados, sino por la posible sanción económica y las modificaciones que pueda impulsar en las prácticas del sector financiero chileno y global.
Para más información sobre normativas de protección de datos y ciberseguridad en bancos, se puede consultar la página oficial de Sernac, así como los informes del Instituto Nacional de Estadísticas de Chile y documentos de referencia internacionales como el RGPD europeo.