Brecha de seguridad causada por tu proveedor cloud: ¿qué puedes reclamar?

¿Tienes razón?

No siempre el proveedor es automáticamente responsable por una brecha. Lo que hace fuerte tu reclamación depende de: 1) las obligaciones concretas del proveedor en el contrato (niveles de servicio, medidas de seguridad, subcontratación), 2) si la brecha se debió a negligencia del proveedor o a una causa externa fuera de su control conforme al contrato, 3) el carácter de los datos afectados y 4) la manera en que reaccionó el proveedor una vez informado.

Si el contrato establece medidas de seguridad mínimas o certificaciones y el proveedor no las cumplió, tu posición contractual es sólida. Si, en cambio, la brecha se produjo por una configuración errónea de tu parte o por credenciales comprometidas por usuarios tuyos, la responsabilidad puede ser compartida. Además, comprueba si tu contrato limita la responsabilidad del proveedor: esas cláusulas pueden reducir lo que puedas reclamar, aunque no eliminan tus obligaciones legales de notificación ante afectados o autoridades.

Cómo se soluciona

1) Conserva todo. Solicita al proveedor un informe detallado, copias de logs relevantes y la cronología del incidente. Guarda tus propios registros y comunicaciones. Si el proveedor se niega, pide por escrito la documentación requerida.

2) Analiza el contrato. Localiza cláusulas sobre seguridad, subcontratación, niveles de servicio, responsabilidades y límites de indemnización. Identifica qué garantías incumplió el proveedor, si procede.

3) Evalúa el alcance técnico y el riesgo para las personas. Determina qué tipos de datos han sido accesibles. Esto es necesario para decidir si debes notificar a la autoridad y/o a los afectados.

4) Reclamación formal. Envía una reclamación por escrito y fehaciente al proveedor exponiendo hechos, pruebas y la reparación que pides (remediación, compensación, medidas de mitigación). Conserva acuse de recibo.

5) Negocia medidas inmediatas. Exige remediación técnica y, si procede, apoyo para gestionar la notificación a los afectados y la mitigación del daño reputacional.

6) Si no hay acuerdo, considera acciones: reclamación administrativa ante la autoridad de protección de datos o demanda contractual por incumplimiento y daños. Antes de litigar, valora la solvencia del proveedor y la cobertura de seguro de ciberriesgo.

Qué puedes hacer ya: pedir el informe y la cronología al proveedor, recopilar tus pruebas y revisar contratos. Qué debe hacer un profesional: valorar cláusulas contractuales, preparar la reclamación y coordinar peritos para demostrar la causa y el alcance del daño.

Qué puede pasar

1) Se arregla con una carta y remediación. En muchos incidentes el proveedor asume la remediación técnica, ofrece compensaciones y facilita comunicaciones para afectados. Un acuerdo rápido evita procesos largos.

2) Acuerdo económico o técnico. Podéis pactar indemnización, descuentos en facturas, auditorías de seguimiento o medidas adicionales de seguridad. Un acuerdo puede ser preferible si el proveedor es solvente y ofrece garantías de mejora.

3) Procedimientos administrativos o judiciales. La autoridad de protección de datos puede iniciar una investigación si hay fallos en la protección de datos personales. En vía civil, reclamarás por incumplimiento contractual y daños. Si pierdes, podrías afrontar costas y pago de indemnizaciones; si ganas, recuerda que la ejecución depende de la solvencia del proveedor y de pólizas.

Y si ganas, ¿cobras? La existencia de seguros del proveedor o su patrimonio determinan si una sentencia se ejecuta. Antes de pleitear, valora estas posibilidades.

Errores que arruinan el caso

• No reunir la documentación contractual y técnica desde el primer momento. Sin contratos y logs, demostrar responsabilidad es difícil.
• Aceptar comunicaciones vagas del proveedor sin acuse y sin pedir pruebas técnicas. Eso diluye tu posición.
• No aislar responsabilidades internas: si la brecha fue por una cuenta tuya sin protección, asumir la defensa sin investigar empeora la situación.
• Firmar acuerdos de confidencialidad que impidan reclamar luego. Si firmaste un acuerdo que limita acciones contra el proveedor, consulta con un abogado.