Le entregué datos a un proveedor sin contrato de encargado

¿Tienes razón?

El factor decisivo no es solo que exista o no un contrato, sino la calidad del tratamiento: tipo de datos compartidos, las instrucciones que dio el responsable, y las medidas que aplicó el proveedor. Si entregó datos sensibles o información que permite identificación y el proveedor actuó sin contrato, su posición de reclamación es sólida. También influye si el proveedor subcontrató a terceros o transfirió datos fuera de su control.

Si usted es un titular que entregó sus datos a una empresa y esa empresa derivó el tratamiento a un proveedor sin regulaciones, el responsable principal sigue siendo quien decidió la finalidad. En la práctica eso significa que puede exigir responsabilidades al responsable y solicitar información al proveedor. Si el proveedor accedió a los datos sin autorización o los divulgó, la responsabilidad puede alcanzar a ambos.

Cómo se soluciona

1. Documente la entrega. Guarde correos, contratos, órdenes de servicio y cualquier comunicación donde conste la entrega de datos al proveedor. Identifique exactamente qué datos se transfirieron y para qué fin.

1. Solicite información al responsable y al proveedor. Diríjase por escrito a ambos pidiendo detalle del tratamiento: qué datos tienen, la finalidad, si hay subencargados, medidas de seguridad y tiempo de conservación. Pida copia de cualquier contrato o acuerdo que exista.

1. Exija medidas correctoras. Si el proveedor no debería tener esos datos o los está usando para otra finalidad, solicite eliminación o restricción del tratamiento. Exija además constancia de las medidas de seguridad aplicadas.

1. Presente queja ante la autoridad de protección de datos. Si no recibe una respuesta satisfactoria, presente la queja formal. La autoridad puede investigar cesiones no autorizadas y sancionar incumplimientos.

1. Evalúe acciones civiles. Si hubo divulgación, daño o uso indebido, puede reclamar reparación por daños. Tendrá que valorar pruebas y cuantificar perjuicios.

Qué puede hacer usted solo: pedir información, exigir eliminación y presentar queja. Qué hace un abogado: analizar contratos, solicitar medidas cautelares, cuantificar daño y acompañar en demanda o tutela.

Qué puede pasar

1) Corrección y firma de contrato: el proveedor y el responsable pueden regularizar la situación con un contrato, adoptar medidas adicionales y comprometerse por escrito a corregir el tratamiento. Esto suele resolver la preocupación práctica.

2) Acuerdo o conciliación: puede negociarse la eliminación de datos, auditorías y compensación. A veces el responsable ofrece garantías y medidas para evitar la repetición.

3) Investigación y sanción administrativa o demanda: la autoridad puede investigar y sancionar incumplimientos; en caso de daños, podrá reclamarse civilmente. Si pierde, la parte perdedora puede enfrentar costas judiciales según la decisión del juez.

Y si gana, ¿cobro efectivo? Como siempre, la ejecución depende de la solvencia del responsable o proveedor. En algunos supuestos la reparación material es limitada y la principal ganancia es la corrección del tratamiento.

Errores que arruinan el caso

• No conservar el contrato de prestación de servicios o las órdenes de entrega de datos: sin prueba de la cesión es difícil demostrar quién hizo qué.
• No pedir por escrito al proveedor la eliminación inmediata cuando detecta uso indebido: las órdenes verbales no generan la misma traza.
• Aceptar compensaciones verbales sin constancia escrita: puede cerrarle la puerta a reclamos posteriores.
• No identificar si hubo subcontratación: el proveedor puede haber pasado datos a terceros y necesitará investigación.
• No evaluar el riesgo cuando se comparten datos sensibles: la ausencia de contrato en esos casos agrava la responsabilidad.