Que el contrato diga quién responde, antes de que lo decida un juez

Sus datos no están solo en sus sistemas. Están en la herramienta que contrató, en el servicio del proveedor que factura por usted, en la plataforma que gestiona sus envíos. Cuando algo falla en uno de esos puntos, la primera pelea del pleito no es sobre seguridad: es sobre quién ostentaba qué condición en ese punto concreto.

La Delimitación de Responsabilidad Contractual convierte esa pelea en un documento que usted ya tiene firmado. Revisamos y redactamos sus contratos de encargo del artículo 28 para que digan, sin ambigüedad, quién responde de qué en cada sistema.

Para quién es

• Empresas que han externalizado partes de su operación y no saben, uno a uno, qué proveedores acceden a datos personales de sus clientes.
• Quien trabaja con contratos de encargo heredados, firmados hace años sobre plantillas genéricas y nunca revisados.
• Quien ha crecido incorporando herramientas y servicios sin que nadie mantuviera el mapa de quién toca qué.
• Grupos con sociedades que se prestan servicios entre sí y no tienen formalizado el reparto interno de papeles.

Si no está seguro de en qué punto está, la segunda y la tercera pregunta del Test de Gestión de Brecha miden exactamente esto.

Qué incluye exactamente

1. Mapa de proveedores. Quién accede a qué datos, para qué finalidad y en qué condición: responsable, encargado o subencargado.
2. Auditoría contractual. Revisión de cada contrato vigente para detectar dónde el reparto de responsabilidad no existe, es ambiguo o le perjudica.
3. Redacción o adenda. Cláusulas de encargo que fijan obligaciones de cada parte, deber de aviso ante un incidente y plazo en el que ese aviso debe llegarle.
4. Cadena de subencargo. Qué proveedores puede subcontratar el suyo, con qué autorización y con qué obligaciones trasladadas.
5. Protocolo de aviso. Cómo se comunica una incidencia entre las partes y qué deja documentado cada una, para que el rastro exista desde el primer minuto.
6. Registro del reparto. Un cuadro único, mantenible, que dice de un vistazo quién responde de qué sistema.

Qué regla resuelve

Regla B — Solo responde quien es responsable o encargado. Las obligaciones de seguridad del artículo 32 únicamente son imputables a quien ostenta esa condición, y no a un tercero ajeno a ella. La Audiencia Provincial de Madrid descartó la responsabilidad de la demandada por ese motivo, y con el mismo razonamiento descartó que le fuera imputable el estado de los soportes.

Con ese reparto documentado, una parte de la reclamación deja de ser suya antes de empezar a discutirla. Sin él, responderá también de lo que ocurrió en un sistema que usted no gestiona.

Entregables

• Mapa de proveedores y de accesos, con la condición de cada uno.
• Informe de riesgos contractuales: qué contrato le deja expuesto y por qué.
• Contratos de encargo nuevos o adendas listas para firma.
• Protocolo de aviso de incidencias entre las partes.
• Cuadro de reparto de responsabilidad, mantenible por su equipo.

Plazo orientativo

Entre tres y seis semanas para una cartera de proveedores habitual. La negociación con cada proveedor va después y a su ritmo: le entregamos el texto y el argumentario para sostenerlo.

El razonamiento completo, con la doctrina que lo sostiene, está en qué mira realmente un tribunal después de una brecha.