La exposición regulatoria de una empresa no termina en su propio perímetro. Cuando un proveedor tecnológico trata datos en nombre de la compañía, procesa transacciones o gestiona infraestructura crítica, los riesgos de cumplimiento se extienden con toda naturalidad hacia ese tercero. En el marco regulatorio vigente en España, la relación con un encargado del tratamiento no es un detalle contractual secundario: es un punto de control al que la dirección debe prestar atención sostenida.
Existe una creencia extendida en entornos de dirección: el problema de seguridad del proveedor es problema del proveedor. Es un error que la normativa corrije sin ambigüedad.
Cuando una empresa contrata a un tercero para que trate datos personales en su nombre – una plataforma de recursos humanos, un software de gestión de clientes, un proveedor de nube o un sistema de análisis de comportamiento – ese tercero actúa como encargado del tratamiento. La empresa sigue siendo el responsable. Eso significa que, ante la AEPD y ante el afectado, es la empresa quien responde en primera instancia si el proveedor incumple.
En nuestra práctica hemos observado que esta distribución de responsabilidades sorprende a muchos directivos. Asumen que la firma de un contrato con cláusulas de privacidad traslada el riesgo al proveedor. No lo traslada: lo comparte. Y en caso de brecha, la empresa debe demostrar que actuó con la diligencia debida antes de contratar y durante la relación.
¿Qué ocurre cuando ese deber de diligencia no se ha ejercido? La AEPD puede considerar que el responsable ha incumplido sus obligaciones de supervisión, lo que puede agravar la valoración de la infracción. La notificación de una brecha de seguridad a la AEPD debe realizarse en el plazo de 72 horas desde que la empresa tiene conocimiento de ella. Si la empresa no ha establecido con su proveedor un protocolo de comunicación de incidentes, ese plazo se convierte en un riesgo autónomo.
El RGPD y la LOPDGDD no describen un formulario de evaluación concreto. Establecen principios: responsabilidad proactiva, privacidad desde el diseño y por defecto, y uso de encargados que ofrezcan garantías suficientes. Traducir esos principios a un proceso operativo es responsabilidad de la empresa.
El primer punto de partida es el registro de actividades de tratamiento. Toda empresa que trate datos de forma no ocasional debe mantener este registro. Cuando se incorpora un nuevo proveedor que trata datos en su nombre, el tratamiento que ese proveedor realiza debe quedar reflejado. Si el registro no existe o está desactualizado, la incorporación del proveedor agrava un incumplimiento previo.
El segundo elemento es el contrato de encargo del tratamiento. La normativa establece un contenido mínimo obligatorio para este contrato: objeto, duración, naturaleza del tratamiento, tipo de datos, instrucciones del responsable al encargado, y compromisos de confidencialidad, seguridad y subencargo. Un contrato que omite estos elementos no es un error menor. Es un incumplimiento formal que puede pesar en una inspección.
El tercer eje es la Evaluación de Impacto relativa a la Protección de Datos (EIPD). No todos los tratamientos la requieren, pero cuando el proveedor va a realizar operaciones de alto riesgo – tratamiento a gran escala, vigilancia sistemática, datos de categorías especiales – la EIPD es obligatoria. Realizarla antes de iniciar la relación contractual, y no después de que el sistema esté en producción, es una diferencia que puede resultar determinante.
Una diligencia debida de proveedor tecnológico con orientación de compliance no es lo mismo que un cuestionario técnico de seguridad de sistemas de información. Las dos dimensiones son complementarias, pero responden a lógicas distintas.
En términos operativos, proponemos estructurar el proceso en cuatro fases:
Este proceso no debe ejecutarse una sola vez. La adaptación al RGPD es continua, y la relación con un proveedor tecnológico evoluciona: cambia de sub-encargados, modifica su arquitectura técnica, actualiza sus condiciones generales. La empresa debe establecer mecanismos de revisión periódica.
No existe un único vector de riesgo. En nuestra experiencia asesorando a empresas tecnológicas, industriales y de salud en sus programas de cumplimiento, los criterios que con mayor frecuencia generan problemas son los siguientes.
Transferencias internacionales de datos. Un proveedor que aloja datos en servidores fuera del Espacio Económico Europeo debe garantizar un nivel de protección equivalente al del RGPD. Los mecanismos habituales son las cláusulas contractuales tipo aprobadas por la Comisión Europea o la existencia de una decisión de adecuación. Si el proveedor no puede documentar el mecanismo de transferencia, el tratamiento puede ser ilícito desde el momento de la contratación.
Subcontratación en cadena. Un proveedor que a su vez subcontrata a otros encargados introduce niveles adicionales de riesgo que la empresa tiene dificultades para supervisar. El contrato de encargo debe establecer si el proveedor puede subcontratar, bajo qué condiciones y con qué obligación de informar al responsable. La falta de control sobre la cadena de subencargo es uno de los factores que la AEPD ha valorado negativamente en resoluciones de procedimientos sancionadores.
Política de gestión de incidentes. ¿Cuánto tarda el proveedor en notificar un incidente al responsable? ¿Cuál es el canal de comunicación? ¿Qué información proporciona? Si la respuesta a estas preguntas no está en el contrato, la empresa no tiene garantía de poder cumplir el plazo de 72 horas de notificación a la AEPD. Hemos visto casos en los que el proveedor notificó el incidente de forma informal, sin documentación, y la empresa no pudo demostrar ante la autoridad de control que había actuado con la diligencia debida.
Datos de categorías especiales. Si el proveedor va a tratar datos de salud, datos biométricos, datos de ideología política o sindical, o datos relativos a condenas penales, el nivel de exigencia se eleva de forma sustancial. En estos supuestos, la EIPD es prácticamente preceptiva, y las medidas de seguridad técnica deben estar documentadas con mayor detalle.
El compliance de empresa no se agota en la protección de datos. Una empresa con un programa de compliance penal robusto debe extender la lógica de evaluación de riesgos a sus proveedores tecnológicos también desde esta perspectiva.
¿Por qué? Porque un proveedor tecnológico puede ser el vector a través del cual se cometan determinados ilícitos penales con relevancia para la empresa: acceso no autorizado a sistemas de información, revelación de secretos empresariales, corrupción en el sector privado canalizada a través de contratos tecnológicos sobredimensionados, o blanqueo de capitales a través de servicios digitales. La normativa vigente establece que la empresa puede exonerarse o ver atenuada su responsabilidad penal si tiene implantado un modelo de compliance que incluye la supervisión de terceros de riesgo.
En este contexto, el canal de denuncias – o canal ético – cobra relevancia específica. Si un empleado detecta que un proveedor tecnológico está ejecutando prácticas irregulares, debe tener un mecanismo para denunciarlo de forma confidencial. La Ley de protección de las personas que informen sobre infracciones normativas obliga a determinadas organizaciones a disponer de este canal. Su ausencia no solo expone a la empresa a sanciones administrativas; también debilita la línea de defensa en un eventual procedimiento penal.
Integrar la evaluación de proveedores en el programa de compliance penal de la empresa implica identificar qué proveedores tienen acceso a información sensible, qué controles de supervisión existen sobre su actuación, y qué mecanismos de detección y respuesta se activarían si se detectara una irregularidad.
La evaluación inicial es necesaria. No es suficiente. La dirección debe asumir que la gestión del riesgo de un proveedor tecnológico es un proceso continuo con varios momentos de decisión crítica.
En la renovación o ampliación del contrato: si el proveedor amplía el alcance de los servicios – por ejemplo, incorpora capacidades de análisis de datos o inteligencia artificial – la empresa debe revisar si el nuevo tratamiento está cubierto por el contrato de encargo existente o si requiere una nueva evaluación.
En una fusión o adquisición del proveedor: cuando el proveedor tecnológico es adquirido por un tercero, la empresa responsable debe verificar si las garantías de protección de datos se mantienen y si los nuevos propietarios están sujetos al mismo marco normativo.
Ante una brecha de seguridad: en el momento en que la empresa recibe notificación de un incidente, el reloj de las 72 horas comienza a correr. La dirección debe activar el protocolo de gestión de incidentes, valorar si la brecha requiere notificación a la AEPD, si es necesario comunicarla a los afectados, y documentar las medidas adoptadas. Disponer de este protocolo previo es lo que distingue una respuesta ordenada de una crisis de reputación.
Al finalizar la relación contractual: cuando el contrato termina, la empresa debe garantizar que el proveedor devuelve o destruye los datos tratados en su nombre. Este punto – aparentemente menor – es una obligación normativa que con frecuencia se omite en la práctica. Si los datos permanecen en los sistemas del ex-proveedor sin base jurídica, la empresa puede verse expuesta a una denuncia o a una inspección.
El patrón más habitual que encontramos en nuestra práctica es el siguiente: la empresa contrata al proveedor tecnológico sin evaluación previa, opera durante meses o años, y acude al asesoramiento externo cuando ya hay un problema. O una inspección de la AEPD. O una brecha de seguridad. O una reclamación de un empleado o cliente.
A ese punto, el coste del asesoramiento se multiplica. No porque los honorarios sean distintos, sino porque el margen de actuación es mucho menor. No se puede retrotraer el momento en que el tratamiento comenzó sin base jurídica. No se puede reconstruir a posteriori una documentación de diligencia debida que nunca existió. El procedimiento sancionador ya está abierto, y el trabajo es de defensa, no de prevención.
El asesoramiento temprano – antes de contratar al proveedor, o al menos antes de que el sistema esté en producción con datos reales – permite otra cosa: diseñar la relación desde el inicio con las garantías adecuadas. El contrato de encargo se negocia cuando hay margen de negociación, no después de que la empresa haya cedido su poder de mercado al firmar. Las cláusulas de auditoría, de resolución y de notificación de incidentes se incluyen porque el asesor está en la mesa antes de que se firme, no después.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el retorno de la inversión en cumplimiento preventivo ha sido evidente frente a los costes de gestionar un incidente sin protocolo.
¿Cuándo es el momento adecuado para revisar la situación de cumplimiento? La respuesta honesta es: antes de contratar al siguiente proveedor de riesgo, no después de que surja el problema.
A modo de referencia operativa, recogemos los puntos de control que debe cubrir una evaluación mínimamente sólida:
Este listado no sustituye una evaluación jurídica individualizada. Pero permite a la dirección realizar una primera lectura del estado de la situación antes de una revisión más profunda. Si varios de estos puntos no tienen una respuesta afirmativa documentada, la empresa tiene un trabajo pendiente.
La evaluación del riesgo de proveedores tecnológicos es parte de un enfoque más amplio de cumplimiento normativo empresarial. En Velarde & Vidal asesoramos sobre el diseño e implantación de programas de protección de datos y compliance para empresas que operan en entornos regulados o de alta exposición de datos. Cuando la relación con el proveedor forma parte de una cadena logística o de prestación de servicios compleja, nuestra experiencia en la redacción y negociación de contratos en el ámbito logístico y de transporte puede añadir valor en la estructuración de la relación contractual. Para empresas en fase de crecimiento o con estructura de capital riesgo, el análisis sobre la clasificación de instrumentos financieros en startups y venture capital ofrece contexto relevante sobre cómo el cumplimiento normativo incide en la valoración y en la gestión de riesgos reputacionales ante inversores.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.