El contrato de encargo decide quién se sienta en el banquillo

Cuando llega la reclamación, la primera pregunta no es qué medidas había. Es quién estaba obligado a tenerlas. Y esa pregunta no la contesta la realidad de sus sistemas: la contesta un contrato.

Las obligaciones de seguridad no son de todo el mundo

El artículo 32 del RGPD impone medidas al responsable y al encargado del tratamiento. A nadie más. Quien no ostenta ninguna de esas dos condiciones no puede infringir el artículo 32, por mucho que haya tenido los datos delante, porque esas obligaciones no le eran imputables.

No es una sutileza doctrinal. La Audiencia Provincial de Madrid absolvió con ese razonamiento a una demandada de la que no pudo tenerse por probado que fuera responsable ni encargada del tratamiento.

Fíjese en el final del párrafo. Ni siquiera el hecho objetivo de que los soportes no estuvieran cifrados le fue imputable. No porque estuviera bien hecho, sino porque la obligación no era suya. Esa es la fuerza de la delimitación de roles, y funciona en las dos direcciones.

La otra dirección: cuando la obligación sí es suya

Si usted es el responsable, la brecha ocurrida en el sistema de un proveedor sigue siendo su problema. El interesado le reclamará a usted, que es a quien conoce y con quien contrató. Que después pueda recuperar del proveedor lo que haya tenido que asumir depende, otra vez, de lo que diga el contrato.

Por eso el contrato de encargo no es papeleo de cumplimiento. Es el documento que decide quién se sienta en el banquillo y quién declara como testigo. Se firma una vez y ordena todo lo que venga después.

Qué debe fijar por escrito

• Quién es responsable y quién encargado en cada tratamiento, con esas palabras exactas.
• Objeto, duración y finalidad del encargo, y qué categorías de datos alcanza.
• Qué medidas de seguridad asume el encargado y cómo debe poder acreditárselas a usted.
• El deber de avisarle de cualquier brecha, con plazo en horas y con destinatario nominativo.
• Quién decide y quién ejecuta la comunicación a la autoridad y a los afectados.
• Si se admiten subencargados, con qué autorización previa y con qué obligaciones idénticas.
• Qué ocurre al terminar: devolución o supresión de los datos, con constancia documental.
• Qué puede auditar usted, con qué preaviso y en qué plazo debe entregarse la información.
• Reparto de responsabilidad frente a terceros y régimen de repetición entre las partes.

Ninguno de esos nueve puntos es técnico. Son nueve decisiones de negocio, y las toma quien firma.

Qué ocurre cuando no lo fija

Tres cosas, y las tres malas. Primera: usted responde de todo, porque la suya es la única condición acreditada en el expediente. Segunda: no puede exigir al proveedor la prueba de sus medidas, y sin esa prueba su propia defensa queda coja. Tercera: cuando por fin le reclame a él, discutirán sobre lo que las partes «entendían», que es la peor posición contractual imaginable.

Hay un cuarto efecto, menos visible y más caro en el momento crítico: sin reparto escrito no sabe a quién llamar la primera hora. Y el plazo de notificación empieza a correr desde que usted tiene conocimiento del incidente, no desde que consigue localizar al interlocutor adecuado.

El mapa que va antes del contrato

Ningún contrato le sirve si no sabe cuántos contratos necesita. Antes de revisar cláusulas, haga la lista: qué proveedores acceden a datos de sus clientes, a cuáles, desde cuándo y con qué documento firmado. En la mayoría de empresas medianas esa lista no existe, y cuando se hace aparecen accesos que nadie recordaba haber concedido.

Ese mapa cumple dos funciones a la vez. Le dice dónde faltan contratos y le permite, el día de la reclamación, señalar con precisión quién tocaba qué. Sin él, la única respuesta disponible es «no lo sé», que ante un tribunal se lee como falta de control. Los demás puntos donde ese descontrol se paga están en qué mira un tribunal cuando llega la reclamación.

Tres correcciones frecuentes

1. El contrato existe, pero es la plantilla del proveedor y le atribuye a usted todo lo que el proveedor no quiere asumir.
2. El contrato reparte responsabilidades, pero no obliga al proveedor a entregarle evidencia; el día del pleito usted no tiene con qué demostrar la diligencia ajena.
3. El contrato es correcto y está sin firmar, o firmado por alguien sin poder suficiente. A efectos de prueba, es como si no existiera.

Si no sabe cuántos de sus contratos de encargo aguantarían un requerimiento, el Test de Gestión de Brecha se lo dice en unos minutos.