Un proveedor o contratista filtró datos de mis clientes

¿Tienes razón?

Tres factores determinan si usted está en posición defensiva o expuesta. Primero, la relación contractual: si el proveedor actúa como encargado del tratamiento bajo su instrucción y usted tiene cláusulas claras de responsabilidad y medidas de seguridad, su capacidad de repercutir en el proveedor es mayor. Segundo, las medidas técnicas y organizativas que existían: si tenía políticas, auditorías o informes que demuestran que exigió controles y el proveedor falló, su responsabilidad se matiza. Tercero, la diligencia en la selección y supervisión: contratar sin verificar referencias, sin exigir certificaciones ni cláusulas de confidencialidad incrementa el riesgo de que la autoridad le considere también responsable.

Si el proveedor actuó por su cuenta, sin relación contractual y con negligencia propia, su riesgo es menor. Si el proveedor trató los datos por encargo suyo y la empresa no supervisó ni exigió medidas, le será más difícil deslindar responsabilidad.

Cómo se soluciona

1. Identifique el alcance de la filtración. Liste qué datos se divulgaron (nombres, números de cédula, correos, fechas de nacimiento, datos financieros) y cuántos afectados. Clasifique los datos por sensibilidad: la exposición de datos financieros o de identidad tiene mayor impacto.

1. Asegure la evidencia técnica. Pida al proveedor registros de acceso, logs, respaldos y copias de los archivos comprometidos. Si la filtración es digital, haga un volcado forense o solicite a un perito que preserve imágenes del sistema. No borre nada y no permita que se sobrescriban los registros.

1. Recupe y limite el daño. Cambie credenciales, revogue accesos a sistemas, cierre cuentas comprometidas y active medidas de mitigación (por ejemplo, bloqueo de tarjetas si hay datos financieros). Documente cada acción.

1. Revise el contrato con el proveedor. Busque cláusulas de confidencialidad, obligaciones de seguridad, responsabilidad por incumplimiento y procedimientos de notificación. Si no existe, documente la ausencia como un hecho relevante.

1. Notifique a los afectados y a la autoridad competente según lo que exija la normativa aplicable y las mejores prácticas. La comunicación debe explicar qué ocurrió, qué datos se expusieron y las medidas de protección ofrecidas. Ofrezca canales de contacto para que los clientes puedan consultar y tomar decisiones.

1. Evalúe medidas legales contra el proveedor. Si el contrato prevé indemnizaciones o cláusulas de reparación, prepárese para exigir cumplimiento. Si no las hay, un abogado puede ayudar a valorar responsabilidad y acciones civiles.

1. Corregir internamente y auditar. Implementar o reforzar políticas internas, cláusulas contractuales y controles técnicos; planear auditorías periódicas a proveedores para evitar repetición.

Qué puede hacer solo: cortar accesos, recopilar logs y notificar a clientes. Qué necesita abogado o perito: análisis forense, reclamaciones contractuales, negociación de compensaciones y coordinación de comunicación legalmente segura.

Qué puede pasar

1) Se arregla con una carta y medidas remediales: el proveedor acepta responsabilidad y asume la gestión de la comunicación, financia medidas de reparación y firma acuerdos que le exoneren o reconozcan el resarcimiento. Es la solución más rápida y práctica si el proveedor tiene recursos.

2) Acuerdo o conciliación entre empresas y clientes: puede alcanzarse una solución extrajudicial con compensaciones, servicios de protección o compromisos de mejorar seguridad. Un acuerdo puede ser deseable para evitar publicidad y para dar respuesta inmediata a los afectados.

3) Procedimiento administrativo o judicial: la autoridad puede imponer medidas o sanciones. Si el caso va a juicio civil por daños, el resultado dependerá de la prueba contractual y técnica. Si pierde, su empresa podría ser declarada responsable solidaria y enfrentar sanciones y la obligación de reparar daños; si gana, podrá reclamar al proveedor. Cobrar a un proveedor insolvente puede ser difícil.

Y si gana, ¿cobro? Una resolución favorable obliga a la contraparte, pero la ejecución depende de la solvencia del proveedor. Por eso la prevención contractual (garantías, seguros) es crucial antes de contratar.

Errores que arruinan el caso

• No preservar logs ni evidencias técnicas: sobreescribir sistemas o no hacer volcado forense destruye la prueba.
• No revisar o no incluir cláusulas de seguridad y responsabilidad en contratos con proveedores.
• Comunicar mal a los afectados: minimizar o mentir sobre la naturaleza de la filtración empeora sanciones y reputación.
• Esperar a que pase el tiempo: retrasar la reacción permite mayor alcance del daño.
• No suspender inmediatamente accesos comprometidos: mantener la conexión facilita más fugas.