La empresa me dice que otro es responsable y no asume responsabilidad

¿Tienes razón?

Que una empresa te diga que “otro” es responsable no es, por sí solo, prueba de que usted queda sin remedio. En México la responsabilidad por el tratamiento de datos depende de varias cosas que conviene comprobar ordenadas como un checklist práctico:

• Quién decide por qué se usan tus datos y cómo se usan: si la empresa fijó las finalidades y las condiciones del tratamiento, suele ser responsable aun cuando externalice procesos. Si solo contrató a un proveedor que actúa siguiendo instrucciones, ese proveedor puede ser encargado, no responsable.
• Qué dice el aviso de privacidad o el contrato que firmaste: ese documento debe indicar si hay transferencias y a quién; si la empresa no informó o el aviso es ambiguo, tu posición mejora.
• Si hubo cesión o transferencia y en qué condiciones: la empresa que transfiere debe tener base para hacerlo y, en su caso, notificar o pedir consentimiento cuando la ley lo exige.
• Si hubo incumplimiento de seguridad o uso indebido: el responsable tiene la obligación de garantizar medidas de seguridad; si el tercero falló porque la empresa no le impuso obligaciones efectivas, quien contrató puede seguir respondiendo.

Si varias de estas casillas indican que la empresa tomó decisiones o no informó, su excusa de “no somos responsables” tiene poca fuerza. Si, en cambio, el tercero es autónomo y decide fines por su cuenta, la responsabilidad puede recaer en ese tercero.

Cómo se soluciona

1. Reúne y organiza la documentación.

• Saca copia del aviso de privacidad publicado en la web en el momento en que diste los datos. Si no lo encuentras, toma captura y guarda la URL y la fecha.
• Busca contratos, recibos, correos o mensajes donde diste tu consentimiento o donde se expliquen usos y transferencias.
• Guarda cualquier comunicación con la empresa que niega responsabilidad: correo, chat, mensaje o nota de llamada, exportada y con fecha.
• Si hubo daño (por ejemplo, llamadas no autorizadas, fraude, o filtración), documenta ejemplos concretos: capturas, teléfonos, montos.

1. Solicita por escrito la identificación del responsable y del encargado.

• Envía una petición por el medio que la empresa indique para datos personales —si no indica, por correo certificado o correo electrónico con acuse— solicitando que indiquen quién es el responsable o, en su caso, el encargado que recibió los datos y la base jurídica de la transferencia.
• Pide copia del contrato de transferencia o el fundamento legal que usaron.

1. Evalúa la respuesta y reclama ante la autoridad si procede.

• Si la respuesta es evasiva o no documentada, anota exactamente lo que dijeron y cuándo.
• Puedes presentar una queja ante la autoridad competente en materia de protección de datos personales en México, adjuntando toda la prueba reunida.

1. Considera vías alternas: PROFECO o acción civil.

• Si el trato proviene de una relación de consumo (cliente con empresa), PROFECO puede orientar y mediar en algunas quejas relacionadas con datos.
• Si existe daño concreto y cuantificable, contempla una acción judicial ante tribunales civiles; para eso necesitarás asesoría para valorar pruebas y costos.

Qué puedes hacer solo vs. cuándo necesitas abogado:

• Lo primero (reunir pruebas y pedir por escrito la identificación del responsable) puedes hacerlo sin abogado. Muchas veces la sola petición escrita fuerza a la empresa a aclarar.
• Si la empresa se niega formalmente a identificar responsabilidades, si la respuesta implica argumentos técnicos o contractuales complejos, o si te ofrecen un acuerdo, es el momento de asesoría profesional.

Qué puede pasar

1) Se arregla con una carta o explicación: lo más frecuente.

• Muchas empresas, al recibir una reclamación formal, reconocen la relación con el tercero y aclaran quién asumirá la corrección o la indemnización. Esto puede resolverse con un compromiso escrito en el que se fijen medidas y plazos. Un acuerdo aceptable puede implicar la eliminación de datos, una explicación pública o reparación del daño.

2) Acuerdo o conciliación administrativa.

• Una queja ante la autoridad o una gestión con PROFECO puede terminar en un acuerdo donde la empresa corrige prácticas, paga una reparación simbólica o se obliga a implementar medidas de seguridad.
• Un acuerdo reducido puede ser preferible si la otra parte reconoce el problema y hace una reparación efectiva; la ventaja es que evitas un litigio largo y costoso.

3) Procedimiento judicial o sancionador.

• Si la autoridad concluye que hubo violación de la normativa de datos, puede imponer medidas correctivas y sanciones administrativas. Si se inicia un juicio civil por daños y perjuicios, la sentencia puede condenar al pago, pero la ejecución depende de la solvencia de la empresa.
• Riesgo de costas: si se inicia un litigio y usted pierde, podría asumir costos procesales según lo que establezca el juzgado. Además, una sentencia favorable contra una empresa insolvente no asegura la recuperación efectiva del daño.

La pregunta clave: “si gano, ¿cobro?”

• No siempre. Una sentencia es una herramienta para reconocer tu derecho, pero su cobro depende de la capacidad económica del condenado y de las medidas de ejecución que practique el juzgado. Por eso, muchas veces un acuerdo inmediato con reconocimiento y cumplimiento efectivo es mejor que una sentencia que tardará y quizá no se ejecute.

Errores que arruinan el caso

• No guardar copia del aviso de privacidad vigente cuando diste los datos. Muchas empresas modifican sus avisos y alegan que usted consintió versiones posteriores.
• Limitarse a llamadas telefónicas sin respaldo escrito: si no exporta mensajes o graba (siempre avisando y conforme a la ley) queda sin prueba clara.
• Firmar documentos que trasladen todas las responsabilidades sin leerlos: a veces los contratos contienen cláusulas abusivas; si ya las firmó, no significa que la empresa quede sin responsabilidad automática.
• Ignorar la diferencia entre responsable y encargado: confundirlos puede hacerle perder tiempo persiguiendo al sujeto equivocado.
• Esperar que la autoridad hará todo: si la autoridad abre un expediente, usted debe colaborar con pruebas; no presentar evidencia clave debilita la reclamación.