Si externalizas servicios y el subencargado incumple con la seguridad

¿Tienes razón?

Cuando un subencargado incumple medidas de seguridad y eso afecta datos personales, no basta con señalar a otro para quedar libre de responsabilidad. Tres cosas determinan si tu empresa debe responder: el contenido del contrato que celebraste con tu proveedor, las comprobaciones previas y continuas que hiciste sobre sus medidas de seguridad, y si tu actuación posterior mitigó el daño. Si tu contrato prohíbe la subcontratación o obliga a aprobar subencargados, y el proveedor incumplió esa obligación, tu posición mejora. Si el contrato permite subcontratar pero exige controles y auditorías que nunca realizaste, la falta de diligencia puede trasladar la responsabilidad hacia ti.

Además importa el tipo de datos involucrados y la magnitud del incidente. Si los datos son especialmente sensibles o afectan derechos de personas, la obligación de demostrar que actuaste de forma diligente es más seria. También cuenta si el subencargado tenía una relación clara con el proveedor principal (por ejemplo, subcontratación técnica) o si era un tercero imprevisto.

En resumen, no es cuestión de culpa automática del subencargado: el foco está en lo que pactaste y en las pruebas de que supervisaste y exigiste seguridad.

Cómo se soluciona

1) Reúne la documentación ya existente en tu empresa. Busca el contrato con el proveedor principal, cualquier anexo sobre seguridad, evidencias de aprobación de subencargados, los informes de auditorías o pruebas de certificaciones que te entregaron, y los registros de accesos o incidencias que puedas tener. Exporta logs, correos y conversaciones y guarda copias fuera del sistema afectado.

2) Identifica exactamente qué datos fueron expuestos y cuántas personas se vieron afectadas. Haz un inventario práctico: tipos de datos, soportes, flujo afectado. Esto lo puedes hacer con tu equipo técnico o con quien maneje las copias de seguridad.

3) Exige al proveedor principal una aclaración formal por escrito que incluya: quién es el subencargado, qué falló, cómo se produjo el acceso o la fuga, y las medidas tomadas para contener el incidente. Solicita evidencia técnica y plazos para remediar la situación.

4) Si el contrato lo requiere, ejecuta mecanismos contractuales: órdenes de subsanación, auditorías in situ, reemplazo del subencargado o, en su caso, terminación del contrato por incumplimiento. Si no tienes cláusulas claras, documenta la falta y exige remedios contractuales por incumplimiento.

5) Contén el daño: bloquea accesos, cambia credenciales, revoca claves y, si procede, restablece versiones limpias desde copias seguras. Comunica internamente a los responsables de seguridad y a las áreas de comunicación y cumplimiento.

6) Si el incidente produce reclamaciones de titulares o riesgos reputacionales, prepara un plan de comunicación y atención: mensajes estándar para afectados, líneas de contacto y seguimiento de consultas.

7) Documenta todo lo anterior: decisiones, correos, órdenes, acciones técnicas y comunicaciones con el proveedor. Esa documentación es la mejor defensa si hay sanción o demanda.

En qué puedes actuar sin abogado: recopilar pruebas, exigir informes por escrito y aplicar medidas técnicas inmediatas. Cuándo conviene abogado: si el proveedor se niega a cooperar, si te amenazan sanciones regulatorias, o si los afectados inician acciones colectivas.

Qué puede pasar

1) Se arregla con una carta y medidas del proveedor. Con frecuencia el proveedor reconoce el fallo, adopta medidas y ofrece mitigación. Esto puede incluir bloqueos de acceso, notificación a afectados y propuestas de compensación técnica. Un arreglo así resuelve rápido muchos casos y evita escaladas administrativas.

2) Acuerdo o conciliación. Si hay daño reputacional o económico, podrás negociar un acuerdo que incluya responsabilidades, indemnizaciones y compromisos de mejora. Un acuerdo por escrito termina la discusión y evita el coste y la incertidumbre de una sanción. A veces un acuerdo menos ambicioso pero efectivo en plazos y acciones es preferible a una disputa larga.

3) Juicio o sanción administrativa. Si la autoridad competente investiga, puede abrir un procedimiento sancionatorio contra tu empresa, el proveedor o ambos. En un juicio civil, la sentencia puede ordenar medidas de reparación, y la condena económica depende de la prueba y solvencia. Si pierdes, podrías tener que pagar costas y, además, una sentencia contra un insolvente puede ser difícil de hacer efectiva.

Y si ganas, ¿cobras? Ganar una sentencia no garantiza cobro automático. Si la parte condenada no tiene activos suficientes, ejecutar la sentencia puede ser difícil. Por eso la solvencia del proveedor y garantías contractuales son relevantes desde el principio.

Errores que arruinan el caso

• No documentar la subcontratación: aceptar verbalmente que el proveedor subcontrate sin dejar registro escrito elimina tu capacidad de probar incumplimiento.

• No exigir evidencia técnica: confiar en certificados verbales o en la palabra del proveedor sin pedir informes, pruebas de pruebas de penetración o logs te deja sin defensa.

• Borrar información o no conservar logs: eliminar registros de accesos o comunicaciones destruye la prueba.

• No actuar para contener la fuga: esperar sin cortar accesos o sin revocar credenciales empeora la exposición y puede interpretarse como falta de diligencia.

• Firmar acuerdos de finiquito con el proveedor sin conservar copia y sin asegurar obligaciones de reparación y reporte a afectados.