Si externalizas servicios y el subencargado incumple con la seguridad

¿Tienes razón?

No se trata de culpa automática del encargado: la clave es lo que pactaste y qué medidas efectivas aplicaste. Tres puntos deciden si la responsabilidad recae sobre ti o en parte sobre el subencargado:

1) Contrato de encargo y cláusulas de seguridad. Si el contrato especifica estándares técnicos, obligaciones de notificación y auditoría, y el subencargado incumple, puedes exigir responsabilidades contractuales. Si el contrato es genérico o inexistente, tu posición debilita.

2) Diligencia previa y supervisión. Si antes de contratar evaluaste la capacidad del proveedor (preguntas, pruebas, auditorías) y mantuviste controles, reduces tu riesgo. No hacer due diligence es común y complica la defensa.

3) Respuesta y mitigación posterior. Si detectaste el incumplimiento y actuaste con prontitud para contenerlo, informar a afectados y cooperaste en la remediación, eso juega a tu favor frente a autoridades y clientes.

En suma: puedes transferir obligaciones contractuales, pero no la responsabilidad frente a los titulares. La ley mira la realidad operativa y la diligencia.

Cómo se soluciona

1. Aislar y documentar el incidente (tú y el equipo técnico). Identifica el alcance: qué datos se vieron afectados, qué sistemas y qué periodo. Guarda logs, snapshots y comunicaciones. No borres evidencias; preserva para análisis forense.

1. Activar el plan de respuesta (tú). Ejecuta medidas técnicas de contención: revocar accesos, parchar vulnerabilidades, cambiar credenciales y segmentar sistemas. Documenta cada acción con hora y responsable.

1. Notificar al subencargado por escrito (tú). Pide informe detallado de causas y medidas tomadas. Exige acceso a evidencias y copia de las auditorías internas. Conserva la respuesta y la fecha de envío.

1. Evaluar la obligación de comunicar a titulares y autoridades (necesitas asesoría). En función del alcance y del riesgo, puede ser necesario informar a afectados y a la autoridad competente. Si lo haces, prepara un comunicado claro: qué pasó, qué datos fueron expuestos, qué medidas vas a tomar y cómo gestionarás la situación.

1. Ejecutar remediación contractual (con abogado). Revisa cláusulas de indemnización y sanciones contractuales. Si el proveedor incumplió, puedes reclamar resarcimiento por daños y por los costes de respuesta. Si no hay cláusula, exige negociación o rescisión del contrato.

1. Auditar y cambiar proveedor si procede (tú + legal). Si el fallo revela incapacidad sistemática, suspende servicios y migra datos de forma segura. Planifica la transición para minimizar riesgo adicional.

1. Aprender y mejorar controles (tú). Implementa revisiones periódicas, cláusulas de auditoría obligatoria y pruebas de penetración externas como requisito contractual.

Qué puede pasar

1) Se arregla con un informe y medidas correctivas. Muchas brechas se solucionan con corrección técnica, reporte a los afectados y compromiso de mejoras por parte del subencargado. Un acuerdo contractual sobre indemnizaciones y un plan de remediación suele cerrar el caso.

2) Conciliación o acuerdo indemnizatorio. Si hubo daño demostrable, el subencargado puede acordar compensaciones y asumir costes de respuesta. A menudo es preferible un acuerdo porque evita investigaciones largas y costosas.

3) Denuncia e investigación administrativa. Si la brecha revela negligencia o incumplimiento de la normativa, INDECOPI puede abrir investigación y ordenar medidas. Si pierdes, podrías enfrentar multas administrativas y la obligación de notificar y remediar públicamente. En la vía civil, podrías ser demandado por los titulares; aun si obtienes sentencia favorable contra el subencargado, la ejecución depende de su solvencia.

Si ganas, el cobro de indemnizaciones de un proveedor insolvente no está garantizado.

Errores que arruinan el caso

• No conservar logs y evidencias del incidente. Sin pruebas, es imposible demostrar alcance y causa.
• No tener un contrato que exija notificación inmediata y auditoría. Sin cláusula, tu capacidad de reclamar se reduce.
• Publicar comunicados vagos o contradictorios. Un mensaje mal redactado aumenta la desconfianza y el riesgo reputacional.
• Seguir usando el proveedor tras el incidente sin auditoría técnica que valide su corrección.
• Subcontratar sin limitar la cadena: permitir que el subencargado subcontrate sin control te deja expuesto a una cascada de responsabilidades.