Una crisis reputacional rara vez avisa. Un vídeo de un cliente indignado que se hace viral, una filtración de datos, la publicación de un correo interno, una denuncia en prensa, una campaña coordinada de reseñas falsas. En cuestión de horas, la empresa pasa de su rutina a estar en boca de todos, y cada decisión que toma, o que no toma, tiene consecuencias.
En nuestra guía sobre las primeras 48 horas de una crisis en redes nos centramos en la conversación en redes sociales. Esta guía es un protocolo más completo, pensado para empresas: incluye las obligaciones legales que pueden activarse, la preservación de la prueba y las vías para retirar contenido ilícito, en un horizonte de 72 horas. No es casual: 72 horas es también el plazo que el RGPD da para notificar una brecha de datos a la autoridad.
Antes de que empiece: lo que conviene tener hecho
Las empresas que mejor gestionan una crisis son las que la han ensayado. Sin entrar en un manual completo, lo mínimo es:
- Un comité de crisis con nombres, no con cargos: quién decide, quién habla, quién se encarga de lo legal, de lo técnico y de la comunicación interna.
- Una lista de contactos fuera de los sistemas corporativos, por si estos fallan.
- Plantillas de mensajes iniciales para los escenarios más probables.
- Un procedimiento de monitorización que avise pronto, porque detectar tarde es la causa más habitual de una mala gestión.
Si no tienes nada de esto, el protocolo siguiente te servirá igualmente, pero las primeras horas serán más caóticas.
Horas 0 a 6: contener y entender
Activar el comité
La primera decisión es convocar a quien tiene que estar, y a nadie más. Un grupo pequeño, con capacidad de decisión y disponibilidad real durante tres días.
Congelar lo programado
Publicaciones en redes, campañas de publicidad, newsletters, notas de prensa. Nada peor que un anuncio alegre en mitad de una polémica.
Preservar la prueba
Antes de que el contenido cambie o desaparezca, hay que documentarlo: publicaciones, comentarios, perfiles, vídeos, artículos. Con fecha, hora, URL y, si el asunto puede terminar en un juzgado, con garantías técnicas. Es lo que luego permitirá retirar lo ilícito o ejercer acciones. Para esto contamos con peritaje informático.
Diagnosticar
El comité debe responder cuanto antes a cinco preguntas:
- ¿Qué ha pasado realmente? Los hechos, no la versión de redes.
- ¿Hay algo de verdad? Una crisis basada en un error real se gestiona de forma muy distinta a una basada en una mentira.
- ¿Quién está afectado? Clientes, empleados, proveedores, terceros.
- ¿Qué alcance tiene? Volumen de menciones, medios implicados, perfiles influyentes.
- ¿Activa alguna obligación legal?
Las obligaciones legales que pueden activarse
Este es el punto en el que muchas empresas cometen errores serios, porque la urgencia de la comunicación les hace olvidar plazos que no admiten demora.
| Situación | Obligación | Plazo |
|---|---|---|
| Brecha de seguridad con datos personales | Notificar a la AEPD (artículo 33 del RGPD), salvo que sea improbable que suponga un riesgo | 72 horas desde que se tiene constancia |
| Brecha con alto riesgo para las personas | Comunicar a los afectados (artículo 34 del RGPD) | Sin dilación indebida |
| Sociedad cotizada con información privilegiada | Difundir al mercado a través de la CNMV (artículo 17 del Reglamento sobre abuso de mercado), salvo retraso justificado | Lo antes posible |
| Incidente con seguro contratado | Comunicar a la aseguradora según la póliza | El que fije la póliza |
| Entidades sujetas a normativa sectorial | Notificar a su regulador | El que fije la norma |
La notificación a la AEPD de una brecha puede hacerse por fases, si no se dispone de toda la información, y el retraso más allá de 72 horas debe justificarse. Si la crisis es una filtración de datos de clientes o empleados, esta obligación es prioritaria sobre cualquier comunicado.
Coordinación entre lo legal y lo comunicativo
Lo que se diga en público puede usarse después en un procedimiento. Todo mensaje externo debe revisarse con quien lleva la parte legal, sin que esa revisión paralice la respuesta.
Horas 6 a 24: el primer mensaje
Un mensaje de espera bien hecho
No hace falta tener todas las respuestas para hablar. Un primer mensaje breve debe:
- Reconocer que la empresa conoce la situación.
- Mostrar preocupación genuina por las personas afectadas, si las hay.
- Explicar qué se está haciendo para averiguar lo ocurrido.
- Comprometer una próxima actualización.
Lo que no debe hacer es negar lo que todavía no se ha comprobado, culpar a terceros, minimizar el problema ni prometer lo que no se puede garantizar.
Un portavoz y un canal
Una sola voz, coherente en todos los canales. El mensaje se publica en los canales propios (web, redes) y se envía a los medios que han preguntado. Las respuestas individuales en redes deben remitir a ese mensaje.
Comunicación interna
Los empleados no deben enterarse por la prensa. Un mensaje interno, antes o a la vez que el externo, con la instrucción clara de no hablar en nombre de la empresa y de canalizar las preguntas al portavoz. Recordar también la política de redes sociales: muchas crisis se agravan por comentarios bienintencionados de empleados.
Contacto con los afectados
Si hay clientes o personas perjudicadas identificables, contactar con ellos directamente antes de que lo hagan los medios. Una llamada a tiempo evita muchas publicaciones.
Horas 24 a 72: actuar sobre el contenido
Con la situación entendida y el primer mensaje publicado, toca actuar sobre lo que circula. Aquí conviene distinguir tres tipos de contenido:
Contenido legítimo
Críticas, quejas, noticias veraces. No se retiran: se responden. Intentar eliminarlos suele provocar el efecto contrario y amplificar la crisis.
Contenido ilícito
Afirmaciones falsas que dañan el honor de la empresa o de sus directivos, publicación de datos personales de empleados o clientes, suplantaciones, amenazas, contenido filtrado que vulnera derechos de terceros. Aquí sí hay vías:
- Notificaciones a plataformas conforme al Reglamento de Servicios Digitales, bien fundamentadas.
- Requerimientos al autor o al medio, cuando están identificados.
- Derecho de rectificación frente a medios de comunicación por informaciones inexactas, dentro de su plazo legal.
- Acciones judiciales cuando el daño lo justifica.
Contenido artificial
Campañas de reseñas falsas, perfiles automatizados, contenido generado para amplificar. Se documentan con especial cuidado y se notifican como manipulación a las plataformas.
Seguimiento
Monitorizar la evolución hora a hora durante las primeras 72 horas: volumen de menciones, aparición en nuevos medios, cambios de tono. Actualizar el mensaje público cuando haya información nueva, aunque sea para decir que se sigue investigando.
Quién hace qué durante las 72 horas
Una de las causas más habituales de descoordinación es que varias personas hagan lo mismo y nadie haga lo importante. Un reparto de papeles sencillo evita ese problema:
| Papel | Responsabilidad principal | Error típico que evita |
|---|---|---|
| Dirección del comité | Decidir, priorizar y aprobar mensajes | Que las decisiones se tomen por correo entre diez personas |
| Portavoz | Hablar en nombre de la empresa, siempre con el mismo mensaje | Declaraciones contradictorias de distintos directivos |
| Responsable legal | Plazos legales, revisión de mensajes, vías de retirada y acciones | Notificar tarde una brecha o reconocer hechos sin necesidad |
| Responsable técnico | Contener el incidente si es técnico y preservar la prueba | Que se pierdan registros o se borren evidencias al «arreglar» |
| Comunicación interna | Informar a la plantilla y canalizar sus dudas | Que los empleados se enteren por la prensa |
| Monitorización | Seguir la conversación y alertar de cambios | Reaccionar a lo que ya ha pasado en vez de anticiparse |
En una pyme, varias de estas funciones recaerán en la misma persona. Lo importante no es tener seis personas, sino que cada responsabilidad tenga un nombre asignado desde la primera hora.
Conviene además llevar un registro cronológico de lo que se decide y por qué: quién lo aprobó, a qué hora se publicó cada mensaje, qué se notificó y a quién. Ese diario de crisis es muy útil después, tanto para analizar lo ocurrido como para acreditar ante una autoridad o un juez que la empresa actuó con diligencia.
Errores que agravan una crisis
- Silencio prolongado. La ausencia de respuesta se llena con especulación.
- Respuestas en caliente. Un directivo que contesta enfadado en redes puede convertir una crisis pequeña en una grande.
- Borrar comentarios críticos de las propias redes. Se nota, se captura y se convierte en noticia.
- Ignorar los plazos legales por centrarse en la comunicación.
- Dejar la prueba para después. Lo que hoy está publicado puede no estarlo mañana.
- Pedir la retirada de todo. Las solicitudes infundadas restan credibilidad a las fundadas.
Después de las 72 horas
Una crisis no termina cuando baja el volumen. Queda lo que permanece en los buscadores, las reseñas acumuladas y lo que responden los asistentes de inteligencia artificial cuando se pregunta por la empresa. La fase de recuperación incluye revisar esos resultados, retirar lo que no debería estar, reforzar el contenido propio y analizar qué falló para que no se repita.
Preguntas frecuentes
¿Debemos pedir perdón aunque no tengamos la culpa?
No se trata de asumir culpas que no son tuyas, sino de mostrar empatía con quien se ha visto afectado. Si hay un error real, reconocerlo pronto suele acortar la crisis.
¿Qué hacemos si la crisis la provoca un empleado?
Primero, comprobar los hechos y respetar sus derechos laborales. Después, separar la conducta individual de la posición de la empresa. Si la crisis procede de una filtración, conviene revisar el canal de denuncias y la Ley 2/2023.
¿Es obligatorio notificar a la AEPD cualquier brecha?
No cualquiera: solo si es probable que constituya un riesgo para los derechos y libertades de las personas. Pero la decisión de no notificar debe documentarse, y en caso de duda conviene hacerlo.
¿Cuándo hay que contratar ayuda externa?
Cuando la crisis supera la capacidad del equipo, cuando hay contenido ilícito que retirar o prueba que preservar, o cuando hay implicaciones legales. Cuanto antes se incorpora, más opciones hay.
Estamos para las horas difíciles
En una crisis, el tiempo es lo que más falta y lo que más vale. Nuestro trabajo en estas situaciones combina la monitorización, la preservación de la prueba con garantías, la retirada de lo que es ilícito y el apoyo en la comunicación. Cuando hace falta, la parte jurídica la llevamos con un despacho de abogados especializado.
Si tu empresa está en mitad de una crisis, o quieres prepararla para la próxima, cuéntanoslo en el análisis gratuito. Te diremos con franqueza qué podemos hacer. Más información en gestión de crisis de reputación y monitorización de la reputación.
