Si externalizas servicios y el subencargado incumple con la seguridad

¿Tienes razón?

Externalizar no te exonera de responsabilidad. Cuando contratas a un encargado y este subcontrata, la norma práctica es que el responsable final debe asegurarse de que todo el circuito cumple requisitos de seguridad. Si el subencargado falla, lo que determina tu posición es: 1) qué obliga el contrato principal, 2) qué controles probaste antes de contratar y 3) cómo reaccionaste cuando supiste del incumplimiento.

Si el contrato con el proveedor principal contiene cláusulas claras de subcontratación, facultad de auditoría y obligaciones de seguridad y el proveedor principal ha incumplido al permitir un subencargado no conforme, tu reclamación contra el proveedor principal es sólida. Si no hay contrato o era laxo, tu defensa se debilita: aun así, no estás desprotegido, pero la estrategia cambia. En cualquier caso la prueba y la trazabilidad son decisivas: registros de auditoría, correos, informes técnicos y contratos son lo que inclina la balanza.

Cómo se soluciona

1) Contén el incidente. Aísla sistemas afectados, cambia credenciales comprometidas y protege respaldos. Si no controlas los sistemas, exige al proveedor acciones inmediatas y pídelas por escrito con acuse.

2) Reúne evidencia. Conserva registros de accesos, logs, copias de las comunicaciones con el proveedor, y cualquier artefacto técnico que muestre la falla. Exporta y copia los datos que demuestren la cadena de responsabilidad.

3) Exige al proveedor principal informes y medidas. Solicita un informe técnico del incidente, medidas correctoras adoptadas y plan de remediación. Pide también la identificación del subencargado y la base contractual que permitió la subcontratación.

4) Revisa tu contrato y cláusulas de subcontratación. Verifica si el proveedor incumplió cláusulas de notificación, de auditoría o de obligación de informar cambio de subencargado. Si no hay cláusulas, documenta la omisión y prepara la reclamación.

5) Notifica a las personas afectadas si procede. Evalúa si el incidente implica un riesgo para derechos y libertades y, con base en esa valoración, comunica a los afectados con información útil sobre el alcance y medidas de protección.

6) Exige medidas contractuales y compensatorias. Solicita la reparación técnica, auditoría externa y, si procede, compensación por daños y gastos razonables incurridos en la respuesta.

7) Cambia o termina contratos si la gravedad lo justifica. Si el proveedor no actúa o la confianza está rota, contempla la sustitución y la migración ordenada de datos.

Qué puedes hacer solo: recopilar evidencia, pedir informes y forzar medidas técnicas básicas. Cuándo llamar a un abogado: si el proveedor rehúye responsabilidades, niega pruebas, si hay riesgos legales por violación de datos de terceros o si se busca indemnización o medidas cautelares.

Qué puede pasar

1) Se arregla con una carta y acciones técnicas. Muchas veces el proveedor remedia la brecha, entrega informes y compensa los costes de respuesta; la relación contractual continúa con nuevas medidas de control.

2) Conciliación o acuerdo. Puedes negociar auditorías externas, cláusulas de penalización futuras y compensaciones. Un acuerdo suele resolver rápido y conservar relaciones comerciales.

3) Procedimiento y reclamación. Si el proveedor no cumple, puedes iniciar acciones contractuales o administrativas; la autoridad competente puede imponer medidas correctivas o sanciones. Si inicias un reclamo y pierdes, puede costar la ejecución y las costas.

Y si ganas, ¿cobras? Cobrar una compensación depende de la solvencia del proveedor y de las garantías contractuales. A veces un acuerdo operativo y medidas de remediación es la solución más práctica.

Errores que arruinan el caso

• No conservar evidencia técnica: logs, correos y entregables. Sin pruebas técnicas, es difícil imputar la falla.
• Firmar contratos sin cláusulas de subcontratación claras. Permitir que el proveedor subcontrate sin avisarte elimina control.
• No exigir auditorías post-incidente. No documentar la reparación da pie a disputas sobre la eficacia de las medidas.
• Depender de comunicaciones verbales. Las órdenes y compromisos deben constar por escrito.
• No tener plan de continuidad. Sin respaldos y plan de contingencia, la exposición al daño es mayor.