Si externalizaste servicios y el subencargado incumplió las medidas de seguridad, podés tener responsabilidad por el daño, pero también derechos frente al encargado y el subencargado. Lo que importa es qué previeron tus contratos y cómo reaccionaste tras conocer el incumplimiento. Primer paso: contener el incidente y preservar evidencia; eso reduce el impacto y te permite exigir responsabilidades.
Compara abogados especializados y elige con calma. Análisis de tu caso gratuito.
Ver abogados Sin compromiso · Gratis
Externalizar no te exime de responsabilidad: cuando contratás a un encargado para tratar datos por tu cuenta, seguís siendo responsable de la licitud del tratamiento y de la seguridad. Al mismo tiempo, podés reclamar contractualmente al encargado y al subencargado si incumplen.
Los factores que determinan tu posición jurídica son:
En resumen: podés tener responsabilidad objetiva por el incumplimiento, pero también derechos frente a quien subcontrató. Tu capacidad de recuperar daños dependerá de la prueba contractual y de la solvencia del proveedor.
1) Contener el incidente: Aislá sistemas, revocá accesos comprometidos y preservá logs y copias forenses de los sistemas afectados. No borres evidencia; guardala de forma segura.
2) Notificar internamente y convocar al equipo técnico: Reuní legal, seguridad, operaciones y el proveedor para evaluar alcance y medidas de contención. Dejá constancia de todas las decisiones y acciones en un registro de incidentes.
3) Revisar contratos y cláusulas de subencargo: Buscá obligaciones de notificación, auditoría, indemnización y seguros. Identificá la cadena de responsabilidades y si el encargado debía haberte comunicado la subcontratación.
4) Exigir remediación al encargado y al subencargado: Reclamá por escrito medidas correctivas, acceso a informes forenses y testigos de control. Si el contrato lo prevé, solicitá la reparación del daño y la cobertura por seguro.
5) Informar a las personas afectadas y a la autoridad si corresponde: Evaluá si el incidente alcanza umbrales que exigen comunicación. Prepará un texto claro que explique qué pasó, qué datos se vieron comprometidos y qué acciones se ofrecen a las personas afectadas.
6) Auditar y ajustar controles: Realizá una auditoría independiente sobre el proveedor y sus subcontratistas. Exigí pruebas de mejora y nuevos esquemas de supervisión.
7) Considerar acciones contractuales o judiciales: Si el proveedor no coopera o no es solvente, evaluá reclamar a su seguro, ejecutar garantías o iniciar acciones por incumplimiento contractual y daños. Conservá toda la documentación técnica y contractual para sustentar la demanda.
Qué podés hacer sin abogado: contener el incidente y reunir pruebas técnicas. Cuándo traer asesoría: al decidir comunicaciones públicas, notificar a la autoridad, exigir compensaciones o iniciar demandas.
1) Resolución con remediación: Lo habitual es que el encargado colabore, implemente medidas y compense parcialmente los costos de respuesta. Esto evita litigios y reputación dañada.
2) Acuerdo o mediación: Podés acordar controles adicionales, auditorías periódicas y compensaciones. Un acuerdo puede incluir cláusulas de reporte y comprobación técnica que reducen el riesgo futuro.
3) Litigio y responsabilidad: Si el caso escala, podés demandar por incumplimiento contractual y daño. Si la autoridad verifica deficiencias en tus controles, podés ser sancionado, aunque la existencia de cláusulas contractuales y pruebas de diligencia previa mitigan ese riesgo. En una sentencia favorable, la ejecución depende de la solvencia del proveedor.
Y si perdés, podrías afrontar costas judiciales y la obligación de reparar a terceros; si ganás, cobrar depende de poder ejecutar sobre la contraparte.
Si el incidente es menor y el proveedor coopera, podés gestionarlo internamente con soporte técnico. Necesitás un abogado cuando haya riesgo de sanción administrativa, reclamos masivos de titulares, cláusulas contractuales complejas o cuando la otra parte no coopera con medidas de remediación. Si existe un seguro que cubre incidentes, el abogado también puede ayudar a gestionar la reclamación al asegurador.
Otros problemas frecuentes en abogados de protección de datos y privacidad
Sí. Aunque el subencargado haya sido el origen, quien decide el tratamiento (el responsable) mantiene obligaciones. No obstante, podés reclamar al proveedor según lo pactado contractualmente.
Depende del alcance y del riesgo para los derechos de las personas. Si la seguridad comprometida puede causar daños relevantes, conviene informar claramente cómo mitigar riesgos y qué medidas adoptaste. Prepará el mensaje con soporte legal y técnico.
Si el contrato exigía autorización y el proveedor subcontrató sin ella, tenés una base contractual sólida para reclamar incumplimiento y daños. Conservá la prueba de la subcontratación y de su falta de autorización.
Depende de las cláusulas de rescisión y del grado de incumplimiento. Un incumplimiento grave de obligaciones de seguridad suele justificar la rescisión, pero siempre revisá el contrato y conservá documentación que sustente la causa.
Sí. Un informe técnico elaborado por terceros independientes fortalece la prueba del alcance y la causa del incidente y es muy útil en negociaciones, procedimientos administrativos o judiciales.
Te conectamos con los mejores abogados especializados. Consulta gratuita y sin compromiso.
