Si has contratado un proveedor cloud sin contrato de tratamiento adecuado

¿Tienes razón?

Que hayas subido datos a un servicio cloud sin un contrato de tratamiento adecuado puede ser un problema real, pero si se aprecia en contexto. Lo que importa para valorar tu caso son cuatro cosas: 1) qué tipo de datos subiste —datos sensibles, financieros o datos de clientes son más graves que nombres públicos—; 2) dónde está el proveedor y dónde se procesan los datos —si hay transferencia internacional cambia la normativa y las obligaciones—; 3) qué controles de seguridad existían en la práctica —autenticación, cifrado, accesos restringidos—; y 4) la relación contractual y documental que ya exista —si hay sólo una factura y un correo, o si hay términos de servicio que el proveedor aplica.

Si los datos son sensibles y no hubo cláusula que limite usos ni medidas mínimas, tu posición exige corrección: el proveedor puede estar incumpliendo la normativa de protección de datos y tú puedes tener responsabilidad por habilitar ese procesamiento sin garantías. Si, en cambio, subiste sólo información pública y tomaste medidas razonables, el daño real puede ser menor y bastará con regularizar el contrato.

Evalúa estos puntos con calma: muchas empresas están en esta situación por urgencia operativa, no por mala fe. No te sientas culpable: lo importante es documentarlo y corregirlo.

Cómo se soluciona

1) Identifica y asegura la prueba (lo que puedes hacer hoy sin abogado).

• Exporta todos los datos que tengas en el servicio cloud en formatos que no dependan de la plataforma (CSV, JSON, PDFs). Conserva la fecha y hora de la exportación y una captura de pantalla de la configuración de permisos. Si puedes, solicita y descarga un registro de accesos (logs).
• Guarda las comunicaciones con el proveedor: correos, chats, facturas, condiciones de servicio. Haz copias y mételas en un lugar seguro.

2) Clasifica los datos.

• Haz una lista clara: datos personales básicos (nombre, correo), datos sensibles (salud, ideología), datos financieros, datos de trabajadores, datos de clientes. Esta clasificación determina las obligaciones y las medidas necesarias.

3) Revisa la ubicación y el flujo.

• Averigua desde qué países el proveedor procesa y almacena la información. Si es fuera de Chile, documenta la ruta. Si es dentro de Chile, identifica la sede legal del proveedor.

4) Remedia la configuración técnica inmediata.

• Cierra accesos públicos, cambia credenciales, activa autenticación multifactor, aplica cifrado donde sea posible. Documenta cada cambio con capturas y registros.

5) Reclama por escrito al proveedor.

• Envía una comunicación fehaciente (correo certificado, carta o medio que deje constancia) solicitando: a) copia del contrato de tratamiento o términos que aplican; b) detalle de medidas de seguridad; c) ubicación de los datos; d) compromiso por escrito de no uso distinto al acordado y de colaboración para regularizar. Guarda la respuesta.

6) Redacta o exige un contrato de tratamiento.

• Un contrato de tratamiento debe incluir obligaciones del proveedor: limitación de finalidades, instrucciones documentadas, medidas de seguridad técnicas y organizativas, subcontratación, asistencia para ejercer derechos de los titulares y cláusulas sobre responsabilidades y retorno o eliminación de datos.

7) Valora la necesidad de medidas administrativas o legales.

• Si el proveedor se niega o las medidas son insuficientes, considera reclamar ante la autoridad competente o pedir asesoría para acciones legales. Un abogado te ayudará a cuantificar riesgos, preparar el reclamo formal y negociar cláusulas.

Tareas que puede hacer un técnico y cuáles necesitas delegar:

• Técnico: exportación de datos, cierres de accesos, activación de MFA, copias de logs.
• Legal: redacción/examen del contrato de tratamiento, reclamación formal a la autoridad, negociación contractual y valoración de responsabilidad.

Qué puede pasar

1) Se arregla con una carta y un contrato: lo más frecuente.

• El proveedor responde, firma un contrato de tratamiento y mejora las medidas de seguridad. Si los datos no fueron comprometidos, muchas veces la normalización contractual y técnica cierra el asunto sin más consecuencias.

2) Acuerdo o conciliación.

• Si hay preocupación por uso indebido o filtración, puedes negociar indemnizaciones o compensaciones y la obligación de auditar al proveedor. Un acuerdo evita procedimientos largos y costosos y suele incluir supervisión técnica.

3) Procedimiento administrativo o judicial.

• Si hay indicios de incumplimiento grave (uso distinto, fuga de datos, subcontratación no autorizada), la autoridad de protección de datos puede requerir antecedentes y sancionar. En sede civil podrías tener reclamos por responsabilidad extracontractual si hubo daño patrimonial o moral. Ten en cuenta el riesgo: incluso ganando, cobrar en caso de insolvencia del proveedor puede ser difícil. Además, si el proveedor tiene sede fuera de Chile, ejecutar una sentencia es más complejo y puede implicar acciones internacionales.

Y si ganas, ¿cobras? Una sentencia favorable o multa administrativa no garantiza cobro si el proveedor no tiene bienes suficientes o está en otra jurisdicción. Por eso la solución contractual previa y las garantías (seguros, cláusulas penales, avales) son cruciales.

Errores que arruinan el caso

• Borrar logs o la evidencia de accesos sin exportarlos primero. Los registros son la prueba de quién accedió y cuándo.
• Confiar solo en términos de servicio genéricos y no tener un contrato específico de tratamiento firmado.
• No clasificar los datos: tratar todo como “igual” lleva a medidas insuficientes para datos sensibles.
• No documentar las acciones correctoras: los cambios técnicos deben quedar con fecha y autor para demostrar diligencia.
• Aceptar un acuerdo verbal con el proveedor para “arreglarlo” sin dejarlo por escrito.