Si externalizas servicios y el subencargado incumple con la seguridad

¿Tienes razón?

La responsabilidad en una cadena de externalización depende de tres cosas: el contrato que suscribió con el encargado directo, los controles y auditorías que ejerció y las medidas de seguridad técnicamente exigibles para el tipo de datos. Si usted es el responsable del tratamiento y delegó funciones a un encargado que a su vez subcontrató a otro (subencargado), la ley y la práctica exigen que mantenga control sobre esa cadena: debe haber cláusulas que regulen subcontratación y debe haberse realizado la debida diligencia previa.

Si el subencargado incumplió, primero determine si el incumplimiento vulneró datos personales y el alcance del daño. La existencia de cláusulas contractuales que obliguen al encargado a responder y a indemnizar ayuda, pero no siempre exime de obligaciones frente a los titulares o a la autoridad. La prueba de que usted supervisó y exigió medidas de seguridad puede ser decisiva en una investigación.

También influye la gravedad técnica del incumplimiento: una exposición limitada de datos de contacto no tiene el mismo tratamiento que la fuga de datos sensibles o financieros. La capacidad de remediación inmediata (cerrar la brecha, rotar credenciales, restablecer controles) también forma parte de la valoración de diligencia.

Cómo se soluciona

1. Active el plan de respuesta a incidentes: contenga la brecha, limite accesos y comparta con su equipo técnico y legal la información disponible. Esto reduce impacto y es una acción prioritaria que puede hacer internamente.
2. Reúna pruebas: logs, conexiones, contratos, políticas de seguridad del encargado y del subencargado, comunicaciones que autorizaron la subcontratación y cualquier informe técnico que identifique la causa del incidente.
3. Notifique a los titulares afectados cuando corresponda: prepare comunicaciones claras explicando qué ocurrió, qué datos fueron afectados y qué medidas de mitigación se ofrecen. Use canales con constancia de recibido para dejar registro.
4. Ejecute medidas correctoras: revocar accesos, cambiar credenciales, parchear sistemas, auditar puntos de entrada y, si procede, restaurar datos desde copias seguras. Documente cada paso y su fecha.
5. Revise y actualice contratos: verifique si el encargado y el subencargado incumplieron obligaciones contractuales. En función de ello, exija reparación conforme a lo pactado y considere la terminación del contrato si hay incumplimiento grave.
6. Informe a la autoridad si existen indicios de vulneración relevante. Coopere aportando la documentación reunida y las medidas adoptadas.
7. Plan de comunicación pública: si la brecha genera impacto reputacional, prepare una estrategia de comunicación que explique las acciones y las medidas de protección para evitar pánicos innecesarios.

Acciones que puede hacer sin abogado: contención técnica inmediata, recopilación de logs, notificaciones básicas a titulares y primeros contactos con el encargado. Necesitará abogado para evaluar cláusulas contractuales, exigir indemnizaciones, gestionar reclamaciones colectivas o defenderse ante la autoridad.

Qué puede pasar

1) Remediación y cierre amistoso. Muchas brechas se cierran con medidas técnicas y con el compromiso contractual del encargado/subencargado de reparar el daño. En estos casos suele negociarse un paquete de medidas correctoras y seguimiento.

2) Acuerdo o conciliación con titulares. Si hay afectados que reclaman reparación, puede haber acuerdos que incluyan compensaciones, monitorización o servicios de mitigación. A veces un acuerdo rápido es la opción más coste-efectiva.

3) Investigación y sanciones. La autoridad puede abrir investigación y, si encuentra incumplimiento, imponer medidas correctoras y sanciones. En procedimientos civiles, podría haber demandas por daños y perjuicios. Si usted logró demostrar diligencia, la sanción puede ser menor; si no, puede asumir la mayor parte de la responsabilidad.

Si gana en juicio o procedimiento, cobrar dependerá de la capacidad económica del encargado o subencargado y de las garantías contractuales. Una sentencia favorable no garantiza cobro automático.

Errores que arruinan el caso

• No tener registros de autorización de subcontratación ni de evaluación previa del subencargado.
• No conservar logs y evidencias técnicas del incidente.
• Esperar para notificar a los afectados hasta que la situación se filtre: la demora agrava sanciones y daños reputacionales.
• Reponer servicio sin corregir la causa raíz: repetir la vulneración demuestra negligencia.
• Firmar acuerdos de confidencialidad que impidan cumplir obligaciones legales de notificación o de cooperación con la autoridad.