Hay noticias que pueden desaparecer de los periódicos en cuarenta y ocho horas. Una base de datos copiada puede permanecer circulando durante décadas. Esa diferencia resume por qué el incidente reconocido por Claro Dominicana el 16 de septiembre de 2026 no debería ser tratado como una noticia tecnológica pasajera. Claro informó sobre una exposición no autorizada de información correspondiente a un grupo de clientes de servicios móviles individuales. Según la compañía, los datos comprometidos comprenden números de teléfonos móviles, números de cédula y el tipo de servicio contratado. También explicó que esas informaciones, por sí solas, no permiten acceder a las cuentas de los clientes con Claro, realizar transacciones ni conocer el contenido de sus comunicaciones. En su comunicación inicial no precisó públicamente cuántos clientes estaban afectados ni explicó las circunstancias concretas que originaron el incidente.
Eso es lo que sabemos. A partir de ahí comienza todo lo que todavía necesitamos saber, porque una cédula, un teléfono y un servicio contratado pueden parecer tres datos aislados hasta que alguien decide utilizarlos conjuntamente. Imagine una llamada en la que una persona se presenta como representante de la compañía y explica que debe actualizar un servicio, sustituir un equipo, realizar una revisión técnica o validar determinada información del titular. Una llamada al azar puede despertar sospechas, pero si quien llama conoce el número correcto, puede mencionar la cédula y sabe algo verdadero sobre el servicio de la persona, la conversación adquiere otra apariencia. Precisamente ahí comienza la ingeniería social.
El atacante no necesita poseer toda la información necesaria para ejecutar un fraude. Puede utilizar la información auténtica que ya posee para conseguir aquello que todavía le falta. Si necesita una dirección, pregunta por ella; si necesita un código enviado por SMS, solicita una supuesta validación; si necesita una fecha de nacimiento, intenta confirmarla; si necesita que la persona pulse un enlace, puede hacerle creer que forma parte de una actualización. Incluso podría intentar hacer creíble una falsa visita técnica. La propia Claro explica en sus recomendaciones de seguridad que la ingeniería social aprovecha el desconocimiento o confianza de los usuarios para obtener información confidencial.
El propio INDOTEL, después de conocerse este incidente, recomendó a la ciudadanía mantenerse alerta frente a llamadas y mensajes sospechosos que soliciten información, pagos o actuaciones urgentes, incluso cuando quien contacte conozca el nombre, teléfono o número de cédula de la persona. También recomendó no entregar contraseñas, códigos de verificación o datos bancarios y verificar cualquier solicitud utilizando directamente los canales oficiales correspondientes. Eso demuestra que el riesgo no es imaginario ni necesita ser exagerado.
Por eso resulta insuficiente medir la gravedad del incidente exclusivamente preguntando si con los datos expuestos puede vaciarse inmediatamente una cuenta bancaria. La pregunta real es qué capacidad de engaño adquiere quien dispone de ellos. Y ahí aparece una característica que hace este asunto particularmente serio: una contraseña puede cambiarse. Una cédula no se cambia como una contraseña.
Cuando una contraseña se compromete puede revocarse; una tarjeta puede bloquearse; una cuenta puede incorporar una autenticación adicional; un teléfono incluso puede cambiar de número. Pero una identificación documental utilizada durante años en contratos, bancos, telecomunicaciones, instituciones públicas, seguros, comercios y múltiples relaciones de la vida civil no puede sustituirse cada vez que aparece dentro de una exposición de datos. Por eso la protección de esa información no constituye una simple buena práctica empresarial. Existe un derecho.
La Ley núm. 172-13 tiene por objeto proteger integralmente los datos personales contenidos en archivos, registros públicos, bancos de datos y otros mecanismos de tratamiento, públicos o privados. Su artículo 10 reconoce a toda persona el derecho de acceder a los datos que sobre ella reposen en registros públicos o privados y conocer el destino y uso de esas informaciones. Los responsables del tratamiento, además, deben conservar la información bajo condiciones necesarias para impedir su adulteración, pérdida, consulta, utilización o acceso no autorizado y tramitar las consultas y reclamaciones formuladas por sus titulares. El artículo 12 añade algo particularmente relevante: establece un plazo no mayor de cinco días hábiles para la puesta a disposición de la información solicitada y dispone expresamente que esa regla se aplica también a las demás entidades que manejan bancos de datos públicos o privados.
Entonces existe una pregunta que no puede desaparecer entre términos técnicos: ¿sabe cada cliente afectado que estamos hablando de él? Claro difundió públicamente su comunicación a través de sus redes sociales y posteriormente numerosos medios nacionales reprodujeron la información. En las fuentes públicas examinadas para este artículo no hemos podido comprobar el alcance de una eventual comunicación individual a todos los titulares afectados ni identificar un mecanismo público mediante el cual cada usuario pueda conocer directamente si forma parte del grupo comprometido. Esa ausencia de información pública no permite afirmar que ninguna notificación individual haya ocurrido, pero sí permite formular una pregunta indispensable: ¿cómo y cuándo será informado directamente cada afectado?
Publicar un comunicado y notificar al titular no son necesariamente la misma cosa. ¿Qué ocurre con la persona que no utiliza Instagram, con quien no sigue las cuentas oficiales de Claro, con el agricultor que utiliza un teléfono básico, con la persona mayor que solamente recibe y realiza llamadas, con quien vive en una comunidad rural y no vio el noticiario aquel día o con quien jamás abrió el periódico donde se reprodujo la información? El derecho sobre los datos personales no puede depender de que un algoritmo muestre una publicación.
Existe además una razón todavía más importante para una comunicación directa: una persona que sabe que sus datos fueron comprometidos puede modificar su comportamiento frente a futuras llamadas. Puede desconfiar aunque el interlocutor conozca información verdadera, verificar una visita técnica antes de permitir el acceso, conservar mensajes, registrar el número desde el cual recibió una llamada, reportar un intento de suplantación, preservar capturas de pantalla y otras evidencias y comunicar patrones sospechosos a su prestadora y a las autoridades. Una persona que no sabe que fue afectada carece de ese contexto. Por eso la notificación no es solamente un asunto de relaciones públicas. También puede convertirse en un elemento de prevención y de preservación de evidencia.
Si dentro de seis meses varios afectados comienzan a recibir comunicaciones que utilizan precisamente la información comprometida, identificar hoy correctamente quiénes formaron parte del incidente ayudará mañana a determinar si existe o no un patrón. Y aquí la investigación tiene que ir bastante más lejos que la expresión “exposición no autorizada”. Tiene que determinar si alguien pudo visualizar registros, si los consultó, si realizó consultas masivas, si los descargó, si los exportó, si existió exfiltración de archivos, durante cuánto tiempo permaneció disponible la información, desde qué sistema, mediante qué credencial, si se explotó una vulnerabilidad, si participó un tercero contratado, si hubo una configuración incorrecta, una cuenta comprometida o alguna actividad interna irregular.
Son escenarios diferentes y producen riesgos diferentes. Cerrar una vulnerabilidad puede impedir nuevos accesos, pero si una base ya fue descargada, corregir la vulnerabilidad no elimina las copias que pudieron haberse producido. Por eso resulta tan importante determinar no solamente cómo entraron, sino también qué pudieron sacar.
El Reglamento de Ciberseguridad aprobado por INDOTEL mediante la Resolución núm. 126-21 establece obligaciones relativas a gestión de vulnerabilidades, seguridad de sistemas, monitoreo y registros de eventos. Su concepto de ciberseguridad incluye expresamente la protección frente al acceso no autorizado y la preservación de la integridad y confidencialidad de la información almacenada, procesada o transmitida. Existe además una protección sectorial todavía más directa. El Reglamento sobre los Derechos y Obligaciones de los Usuarios y Prestadoras establece que el usuario de telecomunicaciones tiene derecho a obtener de su prestadora protección y confidencialidad de los datos personales obtenidos como resultado de la relación contractual y protección contra intentos de fraude por terceros. La misma normativa aclara que la prestadora no será responsable por violaciones cometidas por terceros cuando no haya existido participación, culpa o falta de su parte.
Ese último punto prácticamente define una de las principales preguntas jurídicas de este caso: ¿existió participación, culpa o falta atribuible a Claro? Hoy no tenemos una respuesta pública definitiva. Precisamente por eso debe investigarse.
Claro también establece en condiciones publicadas por la propia empresa que implementará las medidas necesarias, de acuerdo con la legislación aplicable, para proteger la privacidad, seguridad e integridad de los datos personales recopilados de sus clientes. Existe, por tanto, un componente legal, otro regulatorio y otro relacionado con la propia relación contractual. Eso no significa que Claro sea automáticamente responsable simplemente porque ocurrió un incidente. Una compañía puede implementar medidas razonables de seguridad y aun así convertirse en víctima de un ataque sofisticado. Ningún sistema serio puede prometer riesgo cero. Pero tampoco puede ocurrir lo contrario: que el simple hecho de atribuir el acceso a un tercero elimine automáticamente toda investigación sobre las obligaciones del custodio.
Son preguntas distintas. Identificar al atacante responde quién entró. Determinar si los controles eran adecuados responde si quien custodiaba la información cumplió sus obligaciones. Una respuesta no sustituye a la otra.
Existe incluso otro elemento que merece análisis técnico. En marzo de 2026, Claro anunció que había obtenido la certificación internacional ISO/IEC 27001:2022 para su Sistema de Gestión de Seguridad de la Información. La empresa explicó que dentro de los procesos evaluados de su Centro de Operaciones de Seguridad Cibernética figuraban monitoreo en tiempo real, gestión de vulnerabilidades técnicas, gestión de incidentes y crisis, ciberinteligencia, cómputo forense y continuidad operativa. ISO 27001 no convierte una organización en invulnerable, pero sí hace razonable preguntar si los sistemas involucrados en este incidente estaban comprendidos dentro del alcance correspondiente, qué controles existían, qué detectaron, en qué momento lo detectaron y cómo respondieron. Eso no desacredita una certificación; permite evaluar su funcionamiento ante un incidente real.
El caso tampoco termina en Claro. El 19 de agosto de 2026, el Estado dominicano, a través de INDOTEL, adjudicó a la empresa vietnamita Viettel derechos sobre 240 MHz de espectro radioeléctrico para avanzar hacia su entrada al mercado dominicano. Dentro de esa misma licitación, Claro Dominicana obtuvo otros 20 MHz en la banda de 700 MHz. La exposición de datos de Claro fue comunicada públicamente el 16 de septiembre, veintiocho días después.
Hay que ser extremadamente rigurosos con ese dato. Los veintiocho días corresponden al tiempo entre la adjudicación y la comunicación pública del incidente. No conocemos públicamente, hasta ahora, la fecha exacta en que comenzó la exposición. Por tanto, la proximidad de ambas noticias no permite establecer causalidad alguna. No existe evidencia pública conocida que vincule a Viettel con este incidente, no existe evidencia pública conocida de que Viettel haya recibido información de clientes de Claro y no existe evidencia pública conocida de que Claro le haya transferido esos datos. Este artículo no afirma ninguna de esas situaciones.
Pero la entrada de un nuevo competidor sí permite abrir una conversación mucho más amplia sobre algo que República Dominicana tendrá que regular con mayor rigor: la procedencia de las bases utilizadas para captar clientes. Una base capaz de relacionar un teléfono con una persona y con el tipo de servicio que utiliza posee valor. Puede poseer valor criminal para quien pretende engañar y también puede poseer valor comercial para quien quiera identificar potenciales consumidores. Eso no significa que una compañía legítima esté interesada en adquirir información ilícita. Significa que cualquier compañía —Viettel, Claro, Altice o cualquier otro operador presente o futuro— debería poder demostrar la procedencia legítima de las bases utilizadas para sus campañas comerciales.
Aquí puede plantearse desde ahora una pregunta perfectamente razonable: si mañana alguien ofreciera a Viettel, o a cualquier otra empresa, una base de posibles clientes y su procedencia no pudiera acreditarse, ¿la rechazaría?, ¿documentaría ese intento?, ¿verificaría quién la suministró?, ¿informaría a las autoridades si existieran indicios de procedencia ilícita? Ese debería ser el estándar de una competencia sana. No porque exista actualmente una acusación contra Viettel, sino precisamente para que nunca tenga que existir la duda.
La competencia en telecomunicaciones no debería limitarse a precios, cobertura y espectro. En la economía digital también debería incluir competencia limpia sobre los datos. Y existe una hipótesis futura sencilla que permitiría poner a prueba el sistema. Si una persona afectada por la exposición recibe dentro de varios meses una llamada comercial de cualquier empresa, eso por sí solo no demuestra nada. Pero si múltiples personas confirmadas como afectadas comenzaran a recibir contactos donde quien llama conoce datos coincidentes con los comprometidos, entonces existiría un patrón susceptible de investigación. La pregunta tendría que ser de dónde provino la información utilizada para realizar esas llamadas, quién suministró la base, cuándo, de dónde obtuvo originalmente los datos, con qué fundamento jurídico fueron utilizados, si existió consentimiento cuando era necesario y qué debida diligencia realizó quien recibió la información.
Eso es trazabilidad. Y este caso demuestra por qué resulta tan importante.
INDOTEL ha informado que da seguimiento al incidente y que trabaja en coordinación con el Centro Nacional de Ciberseguridad y otras autoridades para esclarecer lo ocurrido, determinar su alcance e identificar responsables. El regulador precisó además que la descripción inicial de los datos comprometidos procede del reporte suministrado por Claro y que dicha información está siendo contrastada dentro de las verificaciones correspondientes. Esa investigación tiene que producir un resultado.
No necesariamente un informe que publique vulnerabilidades capaces de comprometer nuevamente los sistemas, pero sí una explicación suficiente para que el país conozca qué ocurrió: cuántos clientes fueron afectados, qué categorías de información quedaron comprometidas, cuándo ocurrió, durante cuánto tiempo, qué mecanismo permitió el acceso, si existió consulta o extracción, si existen indicios de copia o transferencia, cómo fue detectado, qué medidas correctivas se adoptaron, cómo se determinó quiénes fueron afectados, cómo fueron o serán informados y, finalmente, si Claro cumplió o incumplió las obligaciones legales y regulatorias que correspondían.
Si la investigación determina que la empresa mantuvo controles adecuados, actuó diligentemente y fue víctima de un ataque que superó medidas razonables de seguridad sin que existiera participación, culpa o falta atribuible a ella, esa conclusión también tiene que publicarse. Eso es debido proceso. Pero si se determina la existencia de vulnerabilidades conocidas no atendidas, configuraciones deficientes, controles insuficientes, accesos sin la debida trazabilidad, fallas de supervisión o cualquier incumplimiento atribuible a la empresa, entonces también deberá decirse y deberán establecerse las consecuencias correspondientes. Eso también es debido proceso.
Después aparece inevitablemente la discusión sobre indemnización. La Ley núm. 172-13 establece expresamente en su artículo 16 que quienes sufran daños y perjuicios como consecuencia del incumplimiento de sus disposiciones tienen derecho a ser indemnizados conforme al derecho común. Eso no significa que la existencia del incidente genere automáticamente una indemnización idéntica para todos los clientes. Habrá que determinar incumplimiento, daño y relación causal conforme corresponda. Pero esa norma impide cerrar anticipadamente la posibilidad de reparación.
Y obliga a República Dominicana a enfrentarse a una pregunta jurídica que probablemente será cada vez más importante: ¿qué constituye daño cuando aquello que una persona pierde es el control sobre su información personal? ¿Solamente existe daño cuando desaparece dinero, cuando se produce una suplantación, cuando alguien contrata un servicio fraudulentamente o cuando se perjudica el crédito? ¿O puede existir también un daño jurídicamente relevante cuando identificadores personales quedan indefinidamente fuera del control de su titular? Nuestros tribunales tendrán que desarrollar esas respuestas a medida que estos conflictos comiencen a llegar a la justicia.
Nuestro legislador tiene otra tarea pendiente. La propia Agenda Digital del Gobierno reconoce expresamente la necesidad de modificar la Ley 172-13 para clarificar y ampliar el ámbito de las infracciones y sanciones relacionadas con la utilización de datos personales, más allá de las Sociedades de Información Crediticia. Eso resulta revelador. El propio Estado reconoce que el marco necesita evolucionar.
Y el caso Claro demuestra por qué.
Porque este problema no pertenece exclusivamente a las telecomunicaciones. Mañana puede ser un banco, una clínica, un hotel, una aseguradora, una universidad, una institución pública o una plataforma comercial. Cada una conserva diferentes piezas de nuestra identidad: nombre, cédula, pasaporte, teléfono, dirección, correo electrónico, historial de servicios e información contractual; en algunos sectores, incluso información financiera, biométrica o de salud sometida a protecciones adicionales.
La sociedad digital funciona acumulando datos. Pero mientras más datos acumulamos, más seria debe ser la responsabilidad asociada a su custodia. No podemos digitalizar servicios sin digitalizar también las garantías. No podemos exigir una cédula para prácticamente toda relación formal y posteriormente considerar secundaria su exposición. No podemos decirle permanentemente al ciudadano “entrégueme sus datos” sin poder responderle después “esto es exactamente lo que haremos si esos datos salen de nuestro control”.
Por eso este incidente debería convertirse en un precedente. No necesariamente un precedente contra Claro, sino un precedente sobre cómo República Dominicana responde ante una exposición relevante de información personal. El ciudadano afectado debería poder preguntar si sus datos estuvieron comprometidos, qué información estuvo involucrada, qué riesgo concreto enfrenta, qué medidas debe adoptar, si existe evidencia de que su información fue extraída, qué hará la compañía si posteriormente aparece un intento de fraude, dónde puede reportarlo y qué seguimiento realizará INDOTEL.
Existe además una posibilidad inmediata que el propio ordenamiento ya reconoce: ejercer formalmente el derecho de acceso a los datos personales que mantiene la empresa y solicitar información conforme a la Ley 172-13. No todos los ciudadanos sabrán hacerlo. Precisamente por eso una política eficaz de protección de datos no puede construirse solamente alrededor de ciudadanos expertos. Tiene que proteger también a quien vive lejos, a quien no utiliza redes sociales, a quien solamente posee un teléfono básico, a quien no sabe qué significa phishing y a quien confía cuando alguien llama y conoce correctamente su nombre, su teléfono y su cédula. Es probablemente esa persona quien más necesita ser informada.
Claro tiene derecho a que ninguna responsabilidad sea declarada sin pruebas. Viettel tiene derecho a iniciar su entrada al mercado dominicano sin que se le atribuyan hechos para los cuales no existe evidencia alguna. INDOTEL tiene derecho a desarrollar su investigación sin que se publiquen especulaciones como conclusiones. Pero el ciudadano posee derechos exactamente igual de importantes. Tiene derecho a conocer qué información existe sobre él, tiene derecho a la protección de esa información, tiene derecho a reclamar y, cuando se demuestre un incumplimiento que le haya provocado daños, el ordenamiento contempla la posibilidad de reparación.
Esta noticia desaparecerá eventualmente de los titulares. El riesgo asociado a los datos podría no hacerlo. Un archivo puede copiarse en segundos, una copia puede reproducirse indefinidamente, permanecer inactiva durante meses, combinarse posteriormente con otras fuentes y utilizarse cuando todos hayan dejado de hablar del incidente. Esa es la verdadera diferencia entre solucionar una vulnerabilidad y recuperar el control de un dato. La vulnerabilidad puede cerrarse. La copia, si existe, puede quedarse afuera.
Por eso el caso no debería cerrarse con un comunicado. Debería cerrarse cuando sepamos qué ocurrió, cuando se determine su verdadero alcance, cuando los afectados sepan que fueron afectados, cuando se conozca si existió extracción, cuando se establezca si hubo o no incumplimiento, cuando las autoridades comuniquen las conclusiones que puedan hacerse públicas y cuando el ciudadano pueda recibir una respuesta convincente a una pregunta mucho más grande que el caso Claro:
Si el Estado y las empresas me exigen constantemente entregar mi identidad, ¿qué garantías reales tengo de que esa identidad será protegida cuando quede almacenada en sus sistemas?
Hasta que esa respuesta exista, el debate está lejos de terminar.
Porque una contraseña puede cambiarse esta misma noche.
Una cédula no se cambia como una contraseña.
El Debido Proceso RD
Justicia, Transparencia, País