Respuesta rápida: Ante una crisis reputacional, lo primero es documentar los hechos y evaluar si hay una infracción real detrás. Después hay que coordinar cada declaración pública con el asesoramiento legal, notificar a la AEPD en 72 horas si hay una brecha de datos personales y preparar la defensa antes de que llegue la primera reclamación.
Una crisis reputacional puede nacer de una filtración de datos, una polémica en redes sociales o una acusación pública de mala praxis. Tiene un componente de comunicación evidente, pero también una dimensión legal que muchas empresas descuidan en las primeras horas, justo cuando las decisiones tomadas bajo presión pueden agravar la situación sin necesidad.
Primeros pasos legales ante una crisis reputacional
Las primeras horas condicionan todo lo que viene después. Antes de responder en público conviene hacer tres cosas, en este orden:
- Documentar los hechos: guardar con fecha y hora las publicaciones, correos, mensajes y capturas relevantes, y registrar quién supo qué y cuándo. Esta cronología será la base de cualquier defensa posterior.
- Evaluar si hay fondo legal: comprobar si detrás de la polémica existe una infracción real, por ejemplo en protección de datos, defensa del consumidor o competencia desleal, o si es una cuestión puramente reputacional.
- Delimitar qué se puede decir: definir qué declaraciones puede hacer la empresa sin comprometer su posición en un eventual procedimiento.
También conviene conservar las pruebas digitales tal como están, sin borrar publicaciones propias ni mensajes internos. Eliminar contenido de forma apresurada puede interpretarse como un intento de ocultación y complicar la defensa.
Cuando la crisis tiene origen en una brecha de seguridad
Si la crisis deriva de una filtración de datos personales, la empresa tiene una obligación legal de notificar la brecha a la Agencia Española de Protección de Datos. Según la propia AEPD en su guía sobre brechas de datos personales, el plazo es de 72 horas desde que la organización tiene conocimiento de la brecha. Si es probable que suponga un alto riesgo para los derechos de las personas afectadas, el responsable debe además comunicárselo a ellas.
Gestionar mal esta obligación puede convertir un problema de imagen en una sanción administrativa añadida. Por eso conviene:
- Activar de inmediato el protocolo interno de brechas y designar a quién decide si se notifica.
- Valorar el riesgo real para los afectados: qué datos se han expuesto, cuántas personas son y qué daño pueden sufrir.
- Registrar internamente todas las brechas, también las que finalmente no se notifican, junto con la justificación de la decisión.
- Preparar un mensaje claro para los afectados, sin tecnicismos y con indicaciones concretas sobre qué pueden hacer.
Responder públicamente sin comprometer la posición legal
Bajo presión mediática, es habitual que una empresa haga declaraciones que después resultan perjudiciales en un procedimiento derivado de los mismos hechos. Reconocer un error sin matices, atribuir culpas a un tercero o adelantar cifras puede usarse en contra de la empresa.
Coordinar el mensaje con el asesoramiento legal antes de emitir cualquier declaración relevante evita que la gestión de la reputación comprometa la defensa. No se trata de callar: una empresa que no dice nada durante días también pierde credibilidad. Se trata de comunicar con rapidez lo que se sabe, expresar empatía con los afectados y reservar las valoraciones jurídicas para el momento adecuado.
Reclamaciones y demandas derivadas de la crisis
Una crisis reputacional puede acabar en reclamaciones de clientes, empleados o terceros afectados, y en inspecciones de organismos públicos. Anticiparlo, preparando la documentación de defensa desde el principio y no cuando ya ha llegado la primera demanda, da a la empresa una posición mucho más sólida.
Revisa también el seguro de responsabilidad civil y, si existe, el de ciberriesgos o el de directivos. Muchas pólizas exigen comunicar el siniestro en un plazo corto, y un aviso tardío puede dejar sin cobertura un daño que sí estaba asegurado.
Contenido difamatorio o falso en redes sociales
Cuando la crisis se alimenta de informaciones falsas o difamatorias difundidas por terceros, existen mecanismos para exigir su retirada, tanto ante la propia plataforma como frente al autor del contenido. La Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, es la norma de referencia para reclamar cuando se vulneran esos derechos, también en el caso de las personas jurídicas en lo que se refiere al honor.
Antes de acudir a la vía judicial conviene valorar con cuidado si esta agrava o mitiga la crisis. Una demanda puede dar más visibilidad al contenido que se quiere retirar. En muchos casos funciona mejor un requerimiento formal a la plataforma o al autor, acompañado de pruebas, y reservar el procedimiento para los supuestos más graves. El artículo sobre los aspectos legales del marketing digital ayuda a entender qué contenidos propios y ajenos generan riesgo.
El papel del comité de crisis con componente legal
Las empresas mejor preparadas cuentan con un protocolo previo en el que el asesoramiento legal está integrado desde el primer momento junto al equipo de comunicación. Así se evita la descoordinación entre lo que se dice y lo que legalmente conviene decir bajo presión de tiempo.
- Composición: dirección, comunicación, asesoría jurídica, responsable de protección de datos y tecnología, con un portavoz único.
- Funcionamiento: canal de contacto disponible fuera del horario laboral, plantillas de comunicados revisadas de antemano y un registro de decisiones.
- Simulacros: ensayar el protocolo al menos una vez al año, para detectar huecos antes de que ocurra una crisis real.
Si la empresa forma parte de un grupo o está implicada en una operación corporativa, la crisis puede afectar a la valoración y a las condiciones de la transacción. Un asesoramiento en derecho societario y operaciones corporativas ayuda a medir ese impacto y a gestionar las comunicaciones a socios e inversores.
Después de la crisis: lecciones y medidas correctoras
Cuando la situación se estabiliza, es el momento de analizar qué falló y corregirlo. Una revisión posterior debería incluir las causas de la crisis, el funcionamiento del protocolo, las medidas correctoras adoptadas y, si procede, las mejoras en contratos, políticas internas y formación del personal. Documentar este proceso también ayuda ante un regulador, que valorará si la empresa reaccionó con diligencia y adoptó medidas para que no se repita.
Errores frecuentes en la gestión de estas crisis
- Reaccionar públicamente sin haber consultado antes las implicaciones legales de la declaración.
- No notificar a tiempo una brecha de datos personales cuando existe obligación de hacerlo.
- Borrar publicaciones o mensajes internos, y destruir así pruebas útiles.
- Improvisar la respuesta legal solo cuando ya ha llegado una demanda o reclamación formal.
- Retrasar el aviso a la aseguradora y perder cobertura.
Si tu empresa afronta una situación así, o quieres preparar un protocolo antes de que ocurra, puedes escribirnos a Contacto@LRB.es o llamar al +34 684 234 831.
Si existe cualquier posibilidad de que la crisis derive en un procedimiento legal, sí. Conviene revisar con un abogado el mensaje antes de reconocer hechos, asumir responsabilidades o atribuir culpas a terceros, porque esas declaraciones pueden utilizarse después en tu contra en un procedimiento.
Con carácter general, 72 horas desde que la organización tiene conocimiento de la brecha. Si es probable que entrañe un alto riesgo para los derechos de las personas afectadas, además hay que comunicárselo a ellas. Toda brecha debe registrarse internamente, aunque finalmente no se notifique.
Sí. Puedes dirigirte a la plataforma con un requerimiento acompañado de pruebas y, si no responde, al autor del contenido o a los tribunales. Cuando se vulnera el honor, la Ley Orgánica 1/1982 permite reclamar. Conviene valorar antes si la vía judicial da más visibilidad al contenido.
Conservarlas tal cual: publicaciones, correos, mensajes y capturas con fecha y hora, además de una cronología de los hechos. No hay que borrar contenido propio de forma apresurada, porque puede interpretarse como ocultación. Esa documentación será la base de la defensa y de cualquier comunicación a un regulador.
Sí. Un protocolo previo define quién forma el comité, quién es el portavoz, cómo se decide una notificación y qué plantillas de comunicado se usan. Evita improvisar bajo presión y la descoordinación entre comunicación y asesoramiento legal. Conviene ensayarlo al menos una vez al año.