Mis datos se subieron a un cloud extranjero sin clausulas contractuales

¿Tienes razón?

Tres factores definen si hay un incumplimiento. Primero: si la empresa informó y obtuvo su consentimiento o tenía otra base legal para la transferencia. La transparencia sobre transferencias internacionales es obligatoria cuando afecta derechos suyos. Segundo: si existían o no cláusulas contractuales que aseguren medidas técnicas y organizativas en el proveedor extranjero. Sin ellas, la empresa puede haber incumplido su deber de garantizar la seguridad. Tercero: la naturaleza de los datos transferidos. Datos sensibles o información que permita identificar a menores o responsables de salud requieren mayor cautela.

La mera ubicación física del servidor no siempre determina ilegalidad; lo relevante es la existencia de garantías contractuales y técnicas. Si la empresa no puede probar que adoptó estas medidas, su posición es sólida.

Cómo se soluciona

1. Solicite por derecho de petición o por correo con constancia: Identifique qué datos se transfirieron, a qué proveedor cloud, en qué país, y cuál fue la base legal para la transferencia. Pida copia del contrato con el proveedor y de las cláusulas de protección de datos.

1. Exija prueba de las medidas de seguridad aplicadas: cifrado en tránsito y en reposo, controles de acceso, registro de accesos y certificaciones si las hay (por ejemplo, certificaciones de seguridad). Pida también el plan de contingencia en caso de filtración.

1. Si la empresa no responde o la respuesta es insuficiente, presente queja ante la Superintendencia de Industria y Comercio. Adjunte la petición previa y las evidencias. La autoridad puede investigar, requerir la documentación y ordenar medidas correctivas.

1. En paralelo, si la transferencia derivó en una exposición o filtración, valore medidas adicionales: notificación a afectados, mitigación del daño y, si procede, acciones legales por daños. La notificación pública suele ser exigida cuando hay riesgo real para las personas.

1. Si la transferencia vulneró derechos fundamentales (por ejemplo, cuando afectó intimidad o información sensible), considere la acción de tutela como mecanismo para obtener protección provisional.

Qué puede hacer hoy: pida por escrito la documentación del proveedor cloud y las cláusulas. No elimine correos ni contratos; exporte todo.

Qué puede pasar

1) Se arregla con carta y medidas: la empresa muestra el contrato con cláusulas y le explica las medidas. Muchas veces esto basta si las garantías son adecuadas y el riesgo es bajo.

2) Acuerdo o medidas correctivas: la Superintendencia o una conciliación pueden forzar la adopción de medidas adicionales, auditorías o mecanismos de reparación. Un acuerdo puede incluir auditorías externas y compromisos verificables.

3) Investigación y sanción: la autoridad puede imponer sanciones y medidas correctivas si hay incumplimiento. En sede civil, si hubo daño, puede reclamarse indemnización. Si pierde la demanda, existe el riesgo de costas; si gana, la ejecución depende de los activos del responsable.

Y si gana, ¿cobra? La efectividad de una sentencia dependerá de la capacidad del demandado y de medidas cautelares. Por eso solicitar medidas cautelares que aseguren pruebas y bienes puede ser importante.

Errores que arruinan el caso

• No pedir o no conservar el contrato con el proveedor cloud; sin él, demostrar la falta de cláusulas es más difícil.
• No registrar la petición y la respuesta; la ausencia de constancia debilita la queja ante la autoridad.
• Borrar correos o registros técnicos relacionados con la migración de datos.
• Aceptar explicaciones verbales sin pedir documentación que las respalde.
• No evaluar si hubo exposición de datos y no exigir notificación a afectados cuando procede.