Cuando una brecha ocurre en la infraestructura de un proveedor, la pregunta decisiva no es quién alojaba el sistema, sino quién decidió para qué se usaban los datos, quién controlaba aspectos esenciales del tratamiento y qué obligaciones asumió cada participante. La respuesta combina tres análisis distintos: el regulatorio, la gestión inmediata del incidente y el reparto contractual de costes y daños. Un mismo proveedor puede ocupar papeles diferentes según la actividad concreta afectada.
El reparto empieza por identificar el papel real de cada empresa
Las etiquetas del contrato orientan, pero no sustituyen la calificación funcional. En muchos marcos de protección de datos, el responsable —o figura equivalente— es quien determina los fines y los elementos esenciales del tratamiento: por qué se recaban los datos, para qué se utilizan, a quién se dirigen determinadas decisiones y durante cuánto tiempo se conservan dentro del modelo de negocio. El encargado los trata por cuenta de esa entidad y dentro de sus instrucciones. Un subencargado interviene después, contratado por el encargado para ejecutar una parte del servicio.
La revisión debe hacerse por actividad, no por empresa en bloque. Una plataforma puede ser encargada al alojar una base de clientes, pero actuar para fines propios al analizar datos para mejorar un producto, prevenir fraude de su propia red o cumplir una obligación legal autónoma. También puede haber decisiones compartidas que obliguen a valorar si existen responsabilidades conjuntas o paralelas, según el marco aplicable.
Para ordenar el análisis, conviene reconstruir el flujo concreto comprometido: qué datos entraron en el sistema afectado, de quién procedían, qué entidades podían acceder, qué instrucciones existían, qué decisiones técnicas y comerciales tomó cada una y qué proveedor posterior participaba. La respuesta no debe partir de quién descubrió la intrusión ni de quién posee el servidor.
La evidencia más útil suele estar dispersa: inventarios de tratamientos, diagramas de arquitectura, configuraciones de acceso, anexos de privacidad, listas de subproveedores, registros de actividad y comunicaciones comerciales. Reunirla permite separar un hecho técnico —la brecha en un entorno externo— de la conclusión jurídica sobre los papeles de cada empresa.
Tres planos distintos: regulación, operación y responsabilidad económica
Una brecha puede generar responsabilidades en tres planos que se relacionan, pero no se resuelven con la misma pregunta. Confundirlos lleva a respuestas incompletas, como asumir que quien paga una indemnización será necesariamente quien debe comunicarse con las personas afectadas.
El plano regulatorio determina quién debe cumplir deberes ante la autoridad y frente a las personas cuyos datos se vieron comprometidos. En diversos sistemas, el responsable conserva una posición central para valorar el riesgo y decidir si procede una notificación externa, aunque los encargados pueden tener deberes propios de seguridad, colaboración, registro o aviso interno.
El plano operativo trata de contener, investigar y remediar. Aquí el proveedor que controla el sistema afectado puede ser indispensable: preserva registros, revoca credenciales, aísla activos, identifica accesos y explica la exposición. Esa intervención no transforma por sí sola su papel jurídico ni traslada automáticamente la dirección de la respuesta.
El plano económico y contractual pregunta quién soporta los costes entre las empresas: investigación, restauración, asesoramiento, comunicaciones, reclamaciones o sanciones cuando sean recuperables. Dependerá del contrato, del incumplimiento probado, del nexo causal, de las limitaciones válidas y de normas imperativas que no puedan alterarse por pacto.
| Regulación | ¿Quién debe valorar deberes frente a autoridad y personas afectadas? La respuesta depende del rol funcional y del régimen aplicable. |
|---|---|
| Operación | ¿Quién puede contener, investigar y aportar evidencia? Suele depender del control técnico real sobre el sistema y los registros. |
| Responsabilidad económica | ¿Quién asume costes frente a la otra empresa? Requiere revisar contrato, incumplimiento, causalidad, daños y límites legales. |
Qué corresponde hacer desde que se detecta la brecha
Desde que surge una alerta razonable, la prioridad es conservar capacidad de decisión sin perder evidencia. La empresa que detecta el incidente debe comunicarlo por el canal pactado a quien necesite evaluar su alcance, con información disponible y sin esperar a tener una explicación definitiva. El destinatario debe poder activar un equipo coordinado que incluya negocio, seguridad, privacidad, tecnología y, cuando corresponda, asesoramiento jurídico.
La primera versión del incidente debe distinguir lo confirmado, lo probable y lo todavía desconocido. Resulta útil registrar la hora de detección, el sistema afectado, los accesos observados, las categorías de datos posiblemente expuestas, las medidas de contención y las limitaciones de la investigación. Después se actualiza la cronología sin borrar versiones anteriores ni sobrescribir registros técnicos.
La asignación operativa debe ser concreta. El responsable o quien centralice la relación con clientes decide el mensaje externo y la evaluación regulatoria cuando el marco le atribuya esa función. El encargado aporta datos técnicos, ejecuta acciones sobre el entorno bajo su control y responde a solicitudes de información. Si hay subencargados, el encargado principal debe hacer que la información suba con rapidez y en un formato utilizable.
La notificación a autoridades, la comunicación a personas afectadas y la gestión integral del ciberincidente son cuestiones relacionadas, pero requieren análisis propios. Sus umbrales, plazos, destinatarios y excepciones varían entre marcos legales. No debe asumirse que toda anomalía exige un aviso externo ni que la ausencia de aviso elimina el deber de documentar y corregir el incidente.
Subencargados: cómo se mantiene la cadena de control
El subencargo no rompe la cadena de control. Si un encargado utiliza a otro proveedor para alojamiento, soporte, mensajería, análisis o seguridad, el responsable necesita saber qué parte del tratamiento se delega, qué datos se ven implicados y bajo qué condiciones se incorpora ese tercero. La autorización, información previa u oposición del responsable puede estar regulada de formas distintas, pero el contrato principal debe evitar que la cadena se vuelva opaca.
En una brecha, la relación práctica suele seguir esta dirección: el subencargado informa al encargado que lo contrató; este valida y completa la información; y el responsable recibe datos suficientes para adoptar decisiones regulatorias y comunicativas. Sin embargo, la gravedad del incidente puede justificar canales directos de escalamiento previamente acordados. El objetivo es evitar retrasos, contradicciones y mensajes técnicos imposibles de verificar.
La exigencia de que el subencargado respete obligaciones equivalentes o adecuadas no significa que todos los contratos deban tener una redacción idéntica. Sí exige que los compromisos esenciales sobrevivan en la cadena: límites de uso, confidencialidad, seguridad, colaboración, aviso de incidentes, conservación de evidencia, auditoría cuando proceda y reglas para incorporar nuevos proveedores.
El encargado principal no queda necesariamente al margen porque el fallo material ocurra en un proveedor posterior. Su responsabilidad frente al responsable dependerá de los compromisos asumidos, de su selección y supervisión, de la estructura contractual y de la norma aplicable. A la inversa, el subencargado puede tener deberes directos frente a una autoridad o frente a personas afectadas en algunos ordenamientos.
Contrato y evidencia: qué permite exigir colaboración y reparación
Un contrato útil para incidentes no promete que nunca habrá una brecha. Define cómo se coopera cuando ocurre y qué puede exigirse después. Debe identificar los tratamientos cubiertos, las instrucciones documentadas, las medidas de seguridad comprometidas, los subencargados autorizados y el mecanismo de cambios. También conviene prever un contacto de emergencia que funcione fuera del horario habitual y un contenido mínimo para el aviso inicial.
Las cláusulas más operativas suelen exigir acceso rápido a registros pertinentes, preservación de evidencias, colaboración en análisis forense, entrega de información verificable sobre datos afectados y apoyo razonable para medidas de contención. Deben coordinarse con obligaciones de confidencialidad, secreto profesional, deberes de custodia y restricciones legítimas sobre información de otros clientes. Una cláusula genérica de “cooperación” puede ser insuficiente si no indica quién hace qué y con qué prioridad.
Para discutir reparación económica no basta con señalar que existió una brecha. Hay que conectar un deber incumplido con el incidente y con los costes reclamados. Importan la configuración real del servicio, los avisos previos, las decisiones de ambas partes, las medidas disponibles, la respuesta posterior y la prueba de los perjuicios. Las limitaciones de responsabilidad, exclusiones y topes contractuales pueden ser relevantes, pero su eficacia depende del contrato completo y de límites legales que no siempre pueden renunciarse.
Conserve, además de los registros técnicos, las versiones del contrato y sus anexos vigentes en la fecha del incidente, autorizaciones de subencargo, informes de auditoría, tickets, cambios de configuración, instrucciones emitidas y comunicaciones entre las partes. La trazabilidad sirve tanto para demostrar diligencia como para evitar atribuir retrospectivamente decisiones que nadie tomó.
Cuándo un proveedor deja de actuar solo por cuenta ajena
Un proveedor deja de actuar exclusivamente por cuenta ajena cuando, respecto de una actividad concreta, determina fines propios o toma decisiones esenciales incompatibles con las instrucciones recibidas. No basta con que use herramientas propias, ofrezca un servicio estandarizado o elija detalles técnicos ordinarios necesarios para prestar el servicio. La cuestión es si decide el propósito del uso de los datos o reorienta de forma sustancial cómo se tratan.
Por ejemplo, una empresa contrata a un proveedor para alojar y enviar facturas a sus clientes. El proveedor sufre un acceso no autorizado a ese entorno: puede actuar como encargado para esa función, aunque la brecha ocurra en su infraestructura. Si además extrae los datos de contacto para crear perfiles comerciales de otros productos sin una instrucción que lo permita, ese uso adicional puede alterar su posición jurídica y abrir un análisis separado sobre sus obligaciones propias.
También puede cambiar el análisis si el proveedor conserva, combina o divulga datos para fines independientes, decide destinatarios ajenos al servicio contratado o ignora instrucciones que limitaban el tratamiento. No toda desviación contractual convierte automáticamente al proveedor en responsable de todos los tratamientos; la valoración debe delimitar la actividad, los datos y la decisión concreta.
Este punto importa porque una misma brecha puede afectar varios tratamientos con roles distintos. La organización no debería responder con una etiqueta única para toda la relación comercial. Debe identificar qué parte del incidente ocurrió dentro del encargo, cuál pudo excederlo y qué obligaciones directas podrían surgir para cada participante bajo el régimen aplicable.
Preguntas frecuentes
¿Un contrato puede liberar por completo al responsable si falla su proveedor?
No de forma automática. El contrato puede distribuir tareas, exigir garantías, establecer cooperación y prever mecanismos de reclamación entre las empresas. Pero no suele eliminar las obligaciones regulatorias que la ley atribuye directamente al responsable ni impedir que una autoridad examine si seleccionó, instruyó y supervisó adecuadamente a su proveedor. Además, una cláusula de exoneración puede tener límites por normas imperativas, por su redacción o por la naturaleza del incumplimiento.
¿Todo proveedor tecnológico que accede a datos es un encargado?
No. El acceso a datos es un indicio relevante, pero no basta para definir el papel. Hay que revisar si el proveedor trata los datos siguiendo fines e instrucciones ajenos, si decide elementos esenciales del tratamiento o si utiliza la información para objetivos propios. Un proveedor puede incluso desempeñar funciones diferentes según el servicio o la operación analizada.
¿Una brecha de seguridad obliga siempre a avisar a autoridades o personas afectadas?
No necesariamente. La existencia de una brecha exige analizar qué ocurrió, qué datos se comprometieron, si hubo acceso, pérdida, alteración o indisponibilidad y qué riesgo puede producir para las personas. Los criterios de notificación, los destinatarios, los plazos y las excepciones cambian entre regímenes. Aunque no corresponda un aviso externo, puede persistir el deber de registrar, investigar y corregir el incidente.
¿Puede el responsable reclamar al encargado o subencargado los costes de la brecha?
Puede ser posible si existe una base contractual o legal para reclamar y se prueba el incumplimiento, la relación causal y el daño o coste cuya recuperación se pretende. La discusión puede incluir gastos de respuesta, restauración, asistencia técnica o reclamaciones de terceros, pero dependerá de las cláusulas de responsabilidad, sus límites, la conducta de ambas partes y las reglas aplicables. La sanción administrativa y la distribución interna de su coste no son necesariamente la misma cuestión.