Muchas empresas creen que proteger datos depende sólo de sus propios servidores. En la práctica, la información personal puede pasar por CRM, email marketing, almacenamiento cloud, facturación, soporte, RR.HH., analítica, publicidad y múltiples subproveedores.
La organización no pierde responsabilidad porque el tratamiento se ejecute en una plataforma externa. Necesita saber quién accede, qué hace, dónde y bajo qué controles.
Responsable, encargado y cadena de tratamiento
La Ley 21.719 distingue a quien decide los fines y medios del tratamiento de quien actúa por cuenta de otro. Para la empresa, esta distinción debe traducirse en una revisión concreta del servicio contratado.
No basta con saber el nombre comercial del SaaS. Hay que identificar los datos que recibe, las funciones que ejecuta, los usuarios con acceso, los subencargados, los respaldos, los lugares de almacenamiento y las acciones al terminar la relación.
Qué revisar antes de contratar
Un proceso de evaluación puede incluir:
- finalidad y categorías de datos que se compartirán;
- necesidad real del proveedor y minimización;
- ubicación y posibles transferencias internacionales;
- controles de acceso, cifrado, respaldos e incidentes;
- subcontratación y subproveedores;
- retención, eliminación y devolución;
- apoyo para responder solicitudes de titulares;
- evidencias, auditorías y canales de contacto;
- responsabilidades y obligaciones contractuales.
La revisión debe ser proporcional al riesgo. Un proveedor que sólo procesa una dirección corporativa no presenta necesariamente el mismo perfil que uno que administra datos de salud, información financiera o bases masivas de clientes.
El contrato no reemplaza el control operativo
Una cláusula contractual puede exigir confidencialidad, seguridad y cooperación, pero la empresa debe comprobar que el uso efectivo coincide con lo pactado. Si el proveedor conserva datos más tiempo, activa una función de perfilamiento o entrega información a un subencargado no identificado, existe una brecha.
También es importante planificar la salida. ¿Cómo se devuelven los datos? ¿Qué copias se eliminan? ¿Cómo se revocan usuarios y accesos? ¿Qué evidencia confirma el cierre? El término de la relación no debería dejar una base duplicada sin dueño.
Transferencias internacionales
El material docente destaca que la transferencia transfronteriza no puede utilizarse para eludir el estándar de protección. La empresa debe conocer cuándo sus datos salen del país, qué nivel de protección existe, qué instrumentos habilitan la transferencia y cómo se mantiene el control sobre el tratamiento.
Esto es especialmente relevante en servicios globales. El lugar donde está constituida la empresa no siempre coincide con el lugar donde se almacenan, respaldan o soportan los datos. La revisión debe incluir centros de datos, subprocesadores y accesos remotos.
Un registro de proveedores que sirva para decidir
Conviene mantener un registro con proveedor, servicio, categorías de datos, áreas usuarias, acceso, ubicación, subencargados, contrato, fecha de revisión, riesgos y acciones pendientes. Ese registro permite priorizar renegociaciones y evita depender de una búsqueda manual cada vez que surge una solicitud.
El registro debe integrarse al proceso de compras. Contratar una nueva plataforma debería activar una revisión de datos antes de la firma, no después de que la información ya fue cargada.
Conclusión
El ecosistema de proveedores es parte del perímetro de protección de datos. Ordenarlo permite reducir sorpresas, responder mejor ante incidentes y mantener trazabilidad cuando la operación depende de servicios cloud.
Si necesitas revisar tu cadena de tratamiento, solicita un diagnóstico de preparación Ley 21.719.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
