El contrato con mi proveedor no protege los datos

¿Tienes razón?

Tres factores clave determinan si el contrato es insuficiente y qué puedes exigir. Primero: la calificación del responsable y del encargado. Si tú decides por qué y cómo se usan los datos, eres responsable; el proveedor es encargado y debe someterse a obligaciones específicas. Segundo: la naturaleza de los datos. Datos sensibles o trámites masivos requieren protecciones más estrictas. Tercero: las cláusulas efectivas: si el contrato no contiene obligaciones claras sobre finalidad, seguridad, subcontratación, notificación de incidentes y devolución o destrucción de datos, tu posición es débil en la práctica.

No sirve que el contrato mencione “cumplirá la normativa” sin detallar medidas. Tampoco sirve un texto que permita al proveedor usar los datos para fines propios. Si el proveedor ya accede o replica bases de datos fuera de lo pactado, tu control real se reduce aunque el papel diga otra cosa. Reúne pruebas de uso real: registros de acceso, copias de bases, integraciones con terceros, transferencias internacionales y cualquier comunicación que muestre prácticas distintas al contrato.

Cómo se soluciona

1. Localiza el contrato y compila la documentación. Exporta cualquier entrega de datos (archivos, accesos a plataformas, respaldos). Descarga conversaciones por correo y chat donde se acuerde el alcance del servicio. Guarda facturas y órdenes de servicio.

1. Haz una lectura técnica de las cláusulas críticas. Busca: finalidad del tratamiento; instrucciones del responsable al encargado; prohibición de uso distinto; obligación de asistir al responsable frente a derechos de los titulares; medidas de seguridad técnicas y organizativas; cláusula sobre sub encargados; obligación de notificar incidentes de seguridad; retorno o destrucción de datos al terminar la relación; auditoría y acceso a registros. Si faltan, señala exactamente qué falta.

1. Envía una comunicación fehaciente al proveedor indicando las cláusulas que se deben corregir y proponiendo un anexo contractual con las obligaciones mínimas. Adjunta evidencia del uso actual en contraste con lo pactado. Conserva copia y acuse de recibo.

1. Negocia y documenta: si el proveedor acepta cambios, firma un anexo o enmienda que incluya lista de medidas, plazos para implementación, facultades de auditoría y un procedimiento de notificación de incidentes. Asegura la obligación de devolver o eliminar datos y la prohibición de utilizarlos para otros fines.

1. Si el proveedor se niega, evalúa tres opciones: trasladar el servicio a otro proveedor que cumpla; limitar el alcance de los datos que compartes; o, si no es posible, aplicar controles técnicos adicionales (cifrado, anonimización antes del envío, tokenización). Si hay riesgo de incumplimiento grave, consulta con un abogado para valorar acciones ante la autoridad competente o medidas contractuales más drásticas.

Qué puedes hacer hoy sin abogado: recopilar contratos y pruebas, exportar logs de acceso y chats, y enviar la petición formal de corrección. Qué necesita un profesional: redactar un anexo sólido, validar medidas técnicas propuestas, negociar con el proveedor y, si hace falta, preparar reclamación administrativa.

Qué puede pasar

1) Se arregla con una carta o anexo. Frecuente: muchas situaciones se cierran con una enmienda contractual y ajustes técnicos. Un acuerdo rápido evita costes y mantiene la relación comercial.

2) Acuerdo o conciliación. Si hay desacuerdo, la negociación documentada o la mediación pueden terminar en un compromiso con auditorías periódicas, compensaciones y cronograma de cumplimiento. A veces el proveedor ofrece remediación técnica y controles adicionales.

3) Litigio o procedimiento ante la autoridad. Si el incumplimiento causa un incidente o el proveedor se niega rotundamente, puedes presentar una queja ante la autoridad de protección de datos o demandar por incumplimiento contractual. Si pierdes un litigio, podrías afrontar costas; si ganas, la sentencia obliga al cumplimiento pero la ejecución depende de la solvencia del proveedor. Una sentencia no garantiza el retorno de datos si estos ya se han replicado en manos de terceros o en el extranjero.

Y si ganas, ¿cobras? Una resolución favorable puede ordenar medidas y, en casos coordinados, compensaciones; pero la ejecución depende de la capacidad económica del proveedor y de la trazabilidad de los datos. Por eso es crucial limitar el daño desde el inicio: pedir auditorías, exigir registros y evitar entregar más datos hasta corregir las cláusulas.

Errores que arruinan el caso

• Firmar enmiendas rápidas sin leer la letra chica: aceptar cláusulas que permiten usos secundarios o transferencia a terceros.
• No exportar y conservar evidencia del tratamiento real: si los registros se pierden, demostrar el uso indebido es mucho más difícil.
• Confiar solo en promesas verbales: sin docu­mento, la palabra contra la palabra pesa poco.
• No auditar: no pedir comprobantes de medidas de seguridad ni realizar inspecciones o pruebas básicas.
• Seguir entregando más datos tras detectar incumplimientos: cada entrega agrava el riesgo y reduce opciones de remediación.