No está bien que un proveedor cloud trate tus datos personales sin un contrato de tratamiento adecuado: eso te deja con responsabilidades frente a la ley y frente a las personas cuyos datos procesás. Lo que importa es qué datos subiste, cómo se configuran las medidas de seguridad y si podés obligar al proveedor a aceptar un contrato con cláusulas mínimas. Primer paso: revisar qué información hay en la nube y rescatar evidencia de la relación contractual y de las políticas aplicadas.
Cuéntanoslo y te lo analizamos gratis en un minuto: qué opciones tienes, qué urge y qué contarle al abogado.
Analizar mi caso gratis Sin compromiso · Gratis
Lo que determina si tenés un problema son tres cosas: qué tipo de datos subiste, qué obligaciones asumiste como titular del tratamiento y cómo el proveedor maneja la seguridad y la subcontratación. Si en la nube hay datos sensibles (salud, ideología, datos biométricos) la falta de cláusula expresa sobre tratamiento y medidas de seguridad agrava la situación. Si el proveedor actúa sólo como encargado —es decir, procesa datos por tu cuenta y no decide finalidades— la ley exige que exista un acuerdo que limite su actuación y establezca medidas de seguridad. Si no hay contrato o el contrato es genérico y no menciona subencargados, transferencias internacionales o medidas técnicas y organizativas, tu posición frente a la autoridad y frente a terceros es débil.
Además, importan las pruebas: correos donde el proveedor reconoce responsabilidades, facturas que muestran el servicio prestado, y capturas de pantalla de la configuración del servicio cloud. Incluso si sólo firmaste condiciones generales en un click-through, esas condiciones pueden obligar a ambas partes; pero si no incluyen cláusulas mínimas de tratamiento, seguís exponiéndote.
1) Identificá y catalogá los datos: hacé un inventario práctico. Exportá listas o muestras de archivos desde la consola del proveedor y guardá capturas de pantalla con fecha. Separá datos personales de datos sensibles y anotá cuántas personas podrían verse afectadas.
2) Reuní la documentación de la relación: facturas, órdenes de compra, correos con soporte, condiciones generales y listas de subencargados que el proveedor publique. Exportá la política de privacidad y condiciones vigentes en el momento de la contratación.
3) Exigí por escrito un contrato de tratamiento. En un correo o carta documento podés pedir que se firme un acuerdo que contemple, al menos: la finalidad del tratamiento, la instrucción de actuación del encargado, medidas técnicas y organizativas mínimas, reglas sobre subcontratación y transferencias internacionales, responsabilidad por incidentes y la obligación de notificar fallas de seguridad.
4) Configurá controles inmediatos en la consola: activá cifrado en tránsito y reposo si está disponible, revisá permisos de acceso, eliminá usuarios innecesarios, activá autenticación multifactor y configurá registros de auditoría. Expórtalos como prueba.
5) Si no te dan un contrato razonable, prepará una migración de datos: exportá todo y documentá la operación (copias, comprobantes de descarga). Planificá dónde moverás la información y cómo minimizarás interrupciones.
6) Considerá notificar a los titulares si se identifica un riesgo real: si el proveedor estuvo sin seguridad durante un incidente que afectó datos sensibles, la comunicación a las personas afectadas puede ser necesaria según el riesgo reputacional y legal.
Qué podés hacer solo: inventario básico, pedir documentación, cambiar configuraciones y descargar datos. Cuándo llamar a un abogado: si hay datos sensibles, si el proveedor rechaza firmar cláusulas esenciales, si recibiste un requerimiento de autoridad o si hubo una brecha con daño real.
1) Se arregla con una carta y un contrato: lo más frecuente es que el proveedor acepte firmar un acuerdo o incorporar cláusulas a sus condiciones. Eso suele resolverse con una negociación por correo y la firma de un contrato que limite responsabilidades y establezca medidas. A veces basta con que el proveedor acepte por escrito las instrucciones sobre la finalidad y las medidas técnicas.
2) Acuerdo o conciliación: podés pactar un acuerdo que incluya obligaciones de mejora, auditorías técnicas y, si aplica, una compensación si hubo daño. Un acuerdo trae la ventaja de cerrar rápido y evitar exposición pública; puede ser más conveniente que ir a juicio si la contraparte es solvente y cumple.
3) Juicio o reclamo ante la autoridad de protección de datos: si el proveedor niega responsabilidades o hay denuncia de titulares, la autoridad puede iniciar un procedimiento. Si llegás a un proceso judicial y perdés, podrías ser considerada responsable por falta de control sobre el encargado, y podrías enfrentar sanciones administrativas o una condena a reparar daños. Además, aun con sentencia favorable, el cobro contra un proveedor insolvente puede ser difícil; por eso la viabilidad del reclamo debe analizarse.
Y si ganás, ¿cobrás? Una sentencia no garantiza efectivo si el proveedor no tiene bienes o se halla en otra jurisdicción. Por eso documentar la relación contractual y la solvencia del proveedor es clave antes de entrar en litigio.
La primera gestión (requerir un contrato, cambiar configuraciones y descargar tus datos) la podés hacer vos. Sí conviene un abogado cuando hay datos sensibles, cuando el proveedor rechaza clausulas clave, si hubo una brecha o si aparece un requerimiento de la autoridad. Un abogado puede negociar cláusulas técnicas, revisar límites de responsabilidad y evaluar la vía administrativa o judicial. Si no podés pagar, consultá si aplicás para patrocinio gratuito en el fuero competente.
Otros problemas frecuentes en protección de datos y privacidad
Sí, las condiciones aceptadas por click-through son contrato válido en Argentina, pero lo que importa es su contenido: si esas condiciones no regulan el tratamiento ni las medidas de seguridad, te dejan responsable. Guardá la versión vigente al contratar.
En principio podés exigir la eliminación si sos quien decide las finalidades; pero antes solicitá copia y documentá la petición. Si el proveedor se niega y hay riesgo, un abogado puede intimarlo por carta documento.
El encargado procesa datos por cuenta del responsable (vos) y debe seguir tus instrucciones y medidas técnicas. Si no existe un acuerdo que lo limite, la distinción se diluye y vos podrías ser responsable por su actuación.
No siempre: intentá negociar cláusulas y mejorar medidas. Si el proveedor se niega y los datos son sensibles o hay incumplimientos técnicos, planificá migrar y documentá la operación.
Buscá en la documentación del proveedor listados de subencargados, facturas que muestren terceros, o comunicaciones técnicas. Si no aparecen, exigí por escrito la lista y guardá la respuesta.
Te conectamos con los mejores abogados especializados. Consulta gratuita y sin compromiso.
