Filtración de datos cripto: según la justicia alemana, la indemnización del RGPD empieza en unos 100 euros

Cuando un proveedor cripto comunica una filtración de datos, como cliente en Alemania tienes dos derechos que se aplican de inmediato: según el art. 15 del RGPD puedes saber qué datos tuyos están almacenados, y según el art. 82 del RGPD puedes reclamar una indemnización. El Tribunal Supremo Federal alemán (BGH) ha resuelto que basta con la mera pérdida de control sobre los propios datos y ha avalado expresamente para ese caso una compensación del orden de 100 euros. Se puede obtener más si demuestras un daño concreto.

La cuestión es ahora muy práctica. A finales de octubre, dos servicios del sector cripto confirmaron filtraciones de datos, y en ambos casos se trata de información más delicada para los inversores en criptomonedas que una dirección de correo en una tienda online. Esta guía explica cuándo una filtración da derecho a reclamar, cómo hacerlo valer y por qué el paso más importante tras una filtración tiene que ver con tus monedas, y solo después con el abogado.

Filtración de datos en Wagyu y Chainalysis: qué datos cripto se fugaron a finales de octubre

El primer caso afecta al servicio de intercambio Wagyu. Un servicio de swap cambia una moneda por otra sin que tengas que abrir una cuenta con verificación de identidad: envías, por ejemplo, Bitcoin a una dirección de depósito y recibes Monero (XMR) en una dirección elegida por ti. Según el análisis de la empresa de seguridad Hudson Rock, del que informó el portal especializado Forklog el 29 de octubre, el conjunto de datos abarca 38.628 registros de órdenes y 10.139 direcciones IP únicas del periodo comprendido entre el 18 de julio y el 26 de octubre de 2026. En 4.580 órdenes de Monero marcadas como completadas figuran juntas la transacción de depósito, la dirección de recepción y la dirección IP. El equipo del servicio confirmó la filtración y aseguró que los fondos de los clientes no se vieron afectados. Los detalles están en nuestra información sobre la filtración de datos de Wagyu.

El segundo caso está un nivel por encima. La empresa de análisis blockchain Chainalysis comunicó el 30 de octubre en un aviso de seguridad propio que un atacante había accedido a identificadores de usuario, nombres completos, direcciones de correo y cargos de las personas que trabajan con el software en los clientes de la empresa. Según la compañía, no se vieron afectados contenidos de investigaciones, contraseñas ni claves de sesión. Los inversores particulares no suelen figurar en este conjunto de datos. El riesgo para ti es indirecto: nombres reales de departamentos de cumplimiento son materia prima para correos de phishing creíbles, como describimos en el artículo sobre el incidente de Chainalysis.

Ambos casos muestran el patrón del que trata esta guía: un proveedor pierde datos, y las consecuencias las sufren primero los clientes.

Por qué una filtración de datos pesa más para los inversores cripto que para una tienda online

Un conjunto de datos de una tienda online revela lo que has comprado. Uno del sector cripto revela a menudo lo que posees. Quien conoce la dirección de tu cartera puede consultar en la blockchain pública qué importes hay en ella y cuándo se movieron. Si se añaden nombre, domicilio o dirección IP, una dirección anónima se convierte en una persona con un patrimonio conocido.

De ahí surgen tres riesgos que conviene distinguir:

• Phishing: correos, SMS o llamadas falsos que se apoyan en detalles reales de la filtración y buscan que introduzcas tu frase de recuperación o hagas una «transferencia de seguridad».
• Desanonimización: el vínculo entre dirección e identidad se mantiene de forma permanente. Precisamente con Monero, una privacy coin diseñada para la confidencialidad, una filtración en el intermediario anula la protección de la blockchain.
• Amenaza física: las extorsiones a domicilio, conocidas en inglés como «wrench attacks», requieren que el autor sepa quién tiene cuánto. En el caso de Francia, el 10 de octubre informamos de más de 90 secuestros de este tipo en siete meses.

Desde el punto de vista jurídico, esta gravedad importa, porque contribuye a determinar la cuantía de la indemnización. En la práctica significa que, tras una filtración, primero proteges tu patrimonio y después te ocupas del dinero del proveedor.

Art. 82 del RGPD: cuándo una filtración de datos da derecho a indemnización

La base está en el artículo 82, apartado 1, del Reglamento General de Protección de Datos. Toda persona que haya sufrido daños materiales o inmateriales como consecuencia de una infracción del reglamento tiene derecho a recibir una indemnización del responsable del tratamiento. El responsable es la empresa que decide sobre los fines y medios del tratamiento de datos; en el caso de un exchange de criptomonedas, el propio exchange.

Para que exista una reclamación deben concurrir tres elementos:

1. Una infracción del RGPD. En una filtración de datos suele tratarse de la obligación del art. 32 del RGPD de proteger los datos personales con medidas técnicas y organizativas adecuadas.
2. Un daño. La infracción por sí sola no basta. Así lo aclaró el Tribunal de Justicia de la Unión Europea en mayo de 2023 en el asunto C-300/21, aunque al mismo tiempo rechazó un umbral de gravedad: también cuenta un daño pequeño.
3. Una relación de causalidad. El daño debe derivarse precisamente de esa infracción.

Para ti es importante la carga de la prueba. Que unos desconocidos se hayan hecho con datos no demuestra por sí solo que el proveedor haya incumplido sus obligaciones de protección. Así lo resolvió el TJUE en diciembre de 2023 en el asunto C-340/21. Según la misma sentencia, sin embargo, es el proveedor quien debe demostrar que sus medidas de seguridad eran adecuadas. Solo queda exento de responsabilidad si, conforme al art. 82, apartado 3, del RGPD, demuestra que no es responsable en modo alguno del incidente.

Sentencia del BGH VI ZR 10/24: basta la pérdida de control y el orden de magnitud es de 100 euros

La decisión alemana más importante es del 18 de noviembre de 2024. El asunto VI ZR 10/24 trataba del scraping de Facebook de 2021, en el que se difundieron públicamente datos de unos 533 millones de usuarios. El Tribunal Superior Regional de Colonia había desestimado la demanda porque la mera pérdida de control no constituía un daño. El Tribunal Supremo Federal lo vio de otro modo, como recoge su nota de prensa n.º 218/2024.

Pérdida de control significa que tus datos han caído en manos ajenas y ya no puedes decidir quién los usa. Según el BGH, ya esa mera pérdida, aunque sea breve, puede ser un daño inmaterial. No es necesario que se haya producido un uso abusivo concreto, y tampoco tienes que demostrar otras consecuencias apreciables. Sobre la cuantía, la sala declaró que, en las circunstancias de aquel caso, no había objeciones jurídicas a fijar la compensación por la mera pérdida de control en un orden de magnitud de 100 euros.

De ello conviene quedarse con dos puntos. Primero: el derecho es real, pero pequeño cuando solo hay pérdida de control. Segundo: debes demostrar que se han visto afectados precisamente tus datos. Sin prueba de que te afecta no hay derecho a reclamar, y para eso necesitas justo el derecho de acceso del siguiente apartado. El BGH reconoció además que los afectados pueden obtener una declaración de que el proveedor responde también de daños futuros. Eso es valioso con datos cripto, porque un ataque de phishing puede llegar meses después de la filtración.

Daño inmaterial y material: cuándo es posible obtener más de 100 euros

La diferencia entre ambos tipos de daño es decisiva para la cuantía. Un daño material es un perjuicio patrimonial medible, como monedas robadas, el coste de un nuevo documento de identidad o los honorarios de abogado. Un daño inmaterial afecta al bienestar y a la vida cotidiana, como el miedo, el enfado o el esfuerzo de tener que filtrar constantemente mensajes sospechosos.

Se pueden superar los 100 euros si puedes demostrar algo más que la mera pérdida de control. En el asunto C-340/21, el TJUE reconoció que el temor fundado a un abuso futuro puede ser ya un daño inmaterial. En los inversores cripto ese temor es más verosímil que en muchas otras filtraciones si nombre, dirección y saldos quedan expuestos a la vez. Sin embargo, un riesgo puramente hipotético no basta. Los tribunales exigen que describas en concreto las consecuencias para ti.

Por eso ayuda llevar una lista desde el primer día:

• cada correo, SMS o llamada de phishing con fecha, remitente y contenido, mejor como captura de pantalla;
• los gastos en los que has incurrido, con justificante, por ejemplo por una nueva cartera hardware, un nuevo documento de identidad o un asesoramiento;
• el tiempo dedicado a cambiar contraseñas, trasladar las monedas y a la correspondencia;
• en caso de pérdida real, el identificador de la transacción y la denuncia.

Si tras una filtración te roban realmente monedas, se trata de un daño material equivalente a su valor. En ese caso, sin embargo, también tienes que demostrar que el robo se debe a la filtración y no, por ejemplo, a un error propio en la custodia. Cómo reconocer mensajes falsos tras una filtración lo muestra nuestra guía sobre el phishing tras una filtración de datos.

Derecho de acceso del art. 15 del RGPD: qué datos debe entregar el proveedor

Antes de reclamar nada, aclara qué hay almacenado sobre ti. El derecho de acceso del art. 15 del RGPD te da derecho a que el proveedor confirme si trata datos tuyos y, en caso afirmativo, a una copia de esos datos. Esto incluye los fines del tratamiento, los destinatarios, el plazo de conservación previsto y el origen de los datos, si no proceden de ti. La primera copia es gratuita.

Según el art. 12, apartado 3, del RGPD, el proveedor debe responder sin dilación indebida y, a más tardar, en el plazo de un mes. En solicitudes complejas puede prorrogar el plazo dos meses, pero debe comunicártelo de forma motivada dentro del primer mes.

A los clientes de un exchange de criptomonedas les conviene plantear la solicitud de forma específica. No pidas solo «todos los datos», sino expresamente estos puntos:

• qué datos tuyos están afectados por el incidente comunicado;
• si incluyen direcciones de cartera, datos de transacciones o saldos;
• si se ven afectadas copias de documentos de identidad, selfis de la verificación de identidad o justificantes de domicilio;
• a qué proveedores de servicios se transmitieron los datos, por ejemplo para la verificación de identidad o el envío.

Envía la solicitud por una vía que acredite la recepción, por ejemplo por correo electrónico a la dirección indicada en la política de privacidad y con copia al delegado de protección de datos. Anota la fecha. La respuesta es además tu prueba más importante si más adelante reclamas una indemnización.

Art. 33 y art. 34 del RGPD: qué obligaciones de notificación tiene el proveedor tras una filtración

Tras una filtración, el RGPD obliga al proveedor a dos notificaciones distintas. Según el art. 33, por regla general debe notificar la violación a la autoridad de control competente en un plazo de 72 horas. Según el art. 34, debe comunicártela sin dilación indebida como afectado si es probable que la violación suponga un alto riesgo para tus derechos y libertades.

Esa comunicación debe describir en un lenguaje claro y sencillo qué ha ocurrido, qué consecuencias son probables y qué medidas ha adoptado el proveedor. También debe indicar una persona de contacto, como el delegado de protección de datos. Un correo que solo habla de un «incidente de seguridad» y no menciona categorías de datos difícilmente cumple estos requisitos.

Para ti, la comunicación tiene dos caras. Por un lado, demuestra que tus datos están afectados. Por otro, es la herramienta favorita de los estafadores: tras casi cada gran filtración aparecen notificaciones falsas que llevan a una «verificación de cuenta» en una web clonada. Por eso, comprueba cualquier notificación por una vía que tú mismo conozcas, es decir, la dirección del exchange guardada en tu navegador, nunca a través de un enlace del correo.

Principio del lugar de mercado: ¿se aplica el RGPD también a proveedores cripto fuera de la UE?

Muchos servicios cripto tienen su sede fuera de la Unión Europea. Aun así, el RGPD se aplica a menudo, a través del principio del lugar de mercado del art. 3, apartado 2. Según este, el reglamento también se aplica a empresas sin establecimiento en la UE si ofrecen bienes o servicios a personas en la UE u observan su comportamiento en la UE. Un servicio con interfaz en alemán, medios de pago en euros o publicidad dirigida a Alemania ofrece claramente allí sus servicios.

El problema está en la ejecución. Un proveedor en una isla del Caribe no paga solo porque un tribunal alemán lo condene. Las empresas de terceros países deben designar un representante en la UE según el art. 27 del RGPD, pero muchos servicios pequeños no lo hacen. Con un servicio de swap sin cuenta y sin domicilio social conocido, un derecho sobre el papel suele ser el final del camino.

Ahí reside una ventaja tangible de los proveedores con sede o autorización en la UE. Quien está autorizado conforme al reglamento MiCA tiene una dirección en la UE a efectos de notificaciones y una autoridad de supervisión competente a la que puedes dirigirte. En nuestra comparativa de exchanges de criptomonedas regulados encontrarás un resumen de los proveedores con autorización de la UE. La situación jurídica también ayuda en lo relativo a las direcciones IP: desde 2016, el TJUE considera datos personales las direcciones IP dinámicas, que quedan así bajo la protección del RGPD.

Reclamación ante la autoridad de protección de datos y prescripción de la indemnización

Además de la demanda civil, el art. 77 del RGPD te da derecho a presentar una reclamación ante una autoridad de control. En Alemania, las autoridades de protección de datos de los estados federados son competentes para las empresas privadas, y puedes dirigirte a la de tu propio estado. La reclamación es gratuita. No te reporta dinero, pero puede dar lugar a una multa y a requerimientos contra el proveedor y, a veces, aporta información que te ayuda en una reclamación posterior.

Para la indemnización en sí rige en Alemania el plazo general de prescripción de tres años del artículo 195 del Código Civil alemán. Según el artículo 199, este plazo empieza al final del año en que nació el derecho y tuviste conocimiento de él. Para una filtración de la que te enteraste en octubre de 2026, el plazo corre, por tanto, hasta finales de 2029. No hay que precipitarse, pero conviene asegurar las pruebas de inmediato, mientras están frescas.

Si merece la pena demandar depende de cada caso. Con una cuantía en litigio de unos pocos cientos de euros, los costes superan rápidamente lo obtenido si pierdes. Un seguro de defensa jurídica con cobertura de protección de datos reduce ese riesgo. Además, desde octubre de 2023 las asociaciones de consumidores pueden hacer valer de forma agrupada los derechos de muchos afectados mediante una acción de resarcimiento colectiva. En las grandes filtraciones merece la pena comprobar si la Verbraucherzentrale lleva un procedimiento de este tipo.

Phishing tras la filtración: la custodia protege tus monedas mejor que cualquier indemnización

Medidos frente a lo que está en juego, 100 euros de indemnización son poco. Quien tras una filtración teclea su frase de recuperación en una web falsa puede perder todo su saldo, y eso no lo repone ningún tribunal. Por eso, protegerse va antes que reclamar.

La regla más importante es esta: ningún proveedor serio te pide nunca tu frase semilla. La frase semilla es la secuencia de normalmente 12 o 24 palabras a partir de la cual se pueden restaurar todas las claves de tu cartera. Quien la conoce posee tus monedas. Cualquier mensaje que la pida es una estafa, por muy auténticos que parezcan el remitente y el diseño.

Si tus monedas están en el proveedor que ha comunicado la filtración, no hay motivo de pánico. Una filtración de datos no significa, en principio, que los saldos corran peligro. Pero es una buena ocasión para comprobar si es necesario tener importes mayores en un exchange. Con una cartera hardware, las claves privadas permanecen en un dispositivo que no está conectado a internet. Qué dispositivos sirven para ello lo muestra nuestra comparativa de carteras hardware.

Si el atacante conoce la dirección de tu cartera, ayuda trasladarte a una dirección nueva. La antigua sigue vinculada a tu nombre en el conjunto de datos; la nueva, no. En Bitcoin, un traslado así cuesta una sola comisión de transacción. Asegúrate de no volver a vincular la nueva dirección a tu identidad a través del mismo servicio. Cómo es un phishing dirigido tras una filtración lo mostramos con el ejemplo de los datos de Revolut en el artículo sobre la filtración de datos de Revolut, donde también se explica cómo el banco asumió el coste de los nuevos documentos de identidad.

Indemnización por filtración de datos: primero asegurar las monedas, después reclamar en tres años

1. Solicitar acceso y asegurar pruebas. Envía al proveedor una solicitud conforme al art. 15 del RGPD con las preguntas específicas de arriba, anota la fecha y guarda cada mensaje sospechoso. Con proveedores autorizados en la UE sabes a quién escribir y qué autoridad es competente: nuestra comparativa de exchanges de criptomonedas regulados muestra quién tiene autorización.
2. Revisar la custodia. Los saldos grandes no deben quedarse de forma permanente en un exchange. Trasládalos a tu propia cartera hardware y a una dirección nueva. Nuestra comparativa de carteras hardware compara dispositivos, precios y funciones de seguridad.
3. Configurar de nuevo la cartera del día a día. Para importes pequeños que mueves a menudo, crea una nueva cartera de software con una nueva frase semilla en lugar de seguir usando la dirección antigua. Qué aplicación conviene lo encontrarás en nuestra comparativa de carteras de software. Después reclamas la indemnización con calma: el plazo es de tres años desde el final del año.

(2 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)