En el marco de su participación en el seminario “Protección de Datos en la Práctica: del rol del DPO al cumplimiento sectorial”, Niccole Figueroa Oviedo, abogada y jefa de Crédito, Cobranzas y Recaudación de Lipigas, analizó en conversación con Actualidad Jurídica, el blog de DOE, los desafíos que plantea la Ley N°21.719 para las organizaciones que trabajan con proveedores, subcontratistas y terceros encargados del tratamiento de datos personales. En ese contexto, abordó la necesidad de avanzar desde contratos formales hacia modelos de control continuo, trazable y demostrable.

En su intervención planteó que el deber de verificación respecto de proveedores y subcontratistas no puede entenderse como un acto meramente contractual. ¿Por qué el contrato ya no basta bajo el nuevo estándar de protección de datos?

Porque el contrato es la base, el punto de partida o el mínimo de la relación con nuestros proveedores.

Desde mi experiencia, hace años exigimos que los contratos incorporen distintas cláusulas, como confidencialidad o declaraciones generales de cumplimiento. Sin embargo, con la Ley N°21.719 ad portas de entrar en vigencia, eso ya no es suficiente para dar por cumplido el deber de verificación.

El estándar de cumplimiento se elevó. Hoy no basta con tener el contrato firmado. Es necesario demostrar que el proveedor fue evaluado, que se entregaron instrucciones claras, que fue supervisado y que se mantuvo trazabilidad durante toda la relación.

Entonces, el contrato es fundamental para abrir la relación, pero no agota el deber de verificación.

Usted señaló que el foco debe estar en lo que ocurre después de la evaluación inicial del proveedor. ¿Cómo debería transformarse esa revisión ex ante en un control continuo, trazable y demostrable?

La evaluación ex ante es muy relevante para realizar una contratación segura, porque permite validar que el proveedor se alinea con lo esperado. Sin embargo, también debemos asegurarnos de que esas condiciones se mantengan en el tiempo. Para ello se requiere un control continuo, trazable y demostrable.

En la práctica, esto implica crear un sistema de seguimiento de proveedores. Primero, para revisar si mantienen las condiciones por las cuales fueron elegidos. Y, además, para poder acreditar las acciones de seguimiento realizadas.

También se deben documentar las instrucciones, definir responsables de esos proveedores dentro de la organización, revisar accesos, monitorear eventuales incidentes e incorporar esta revisión dentro de las auditorías internas.

De esa manera, el control no solo será continuo, sino también trazable y demostrable ante cualquier fiscalización.

Uno de los puntos que destacó fue la necesidad de calificar correctamente al tercero: si actúa como encargado de tratamiento o si estamos frente a una cesión de datos. ¿Por qué esa distinción es tan relevante para controlar adecuadamente el tratamiento?

Porque si califico mal al tercero, controlo mal el tratamiento.

Esto no es solo una discusión teórica. La calificación jurídica que le asignemos al proveedor será la base del modelo de control, dependiendo de si estamos frente a un encargado de tratamiento o ante una cesión de datos.

Por una parte, al encargado de tratamiento el mandante debe entregarle instrucciones claras, límites para el uso de los datos, medidas de seguridad, controles de acceso y límites respecto de la subcontratación.

En cambio, en el caso de la cesión, los datos se entregan a un tercero de forma más amplia. Por eso es relevante que el mandante revise previamente la base de licitud, la finalidad, la información entregada al titular y las responsabilidades de cada parte.

Por lo tanto, para realizar un debido control del tratamiento de datos respecto de mis proveedores, siempre debo calificar correctamente a los terceros que colaboran con la organización.

En la práctica, muchas organizaciones trabajan con proveedores SaaS, servicios cloud, call centers, empresas de cobranza o plataformas de pago. ¿Cuáles son los principales riesgos de no tener instrucciones claras sobre finalidad, accesos, plazos, incidentes y ejercicio de derechos de los titulares?

El principal riesgo es no tener gobernanza sobre el dato.

Cuando no existe control sobre el dato, el riesgo se vuelve tangible. Esto ocurre, por ejemplo, cuando se entregan instrucciones ambiguas a terceros, cuando los accesos son excesivos o cuando no se limitan adecuadamente los tiempos de acceso o conservación de la información.

Entonces, el problema no será solo operativo, sino que también puede generar un riesgo regulatorio relevante, porque la organización no podrá demostrar que cumple con el estándar de verificación que se le exige.

También mencionó que la protección de datos no debe operar como una “isla” dentro de la organización, sino dialogar con otras normativas, como el derecho del consumidor. ¿Cómo debería integrarse esta mirada dentro de la gestión general de riesgos?

La protección de datos no debe trabajar en silos dentro de la organización, ni quedar radicada únicamente en determinadas áreas, como legal o ciberseguridad.

En cualquier organización, un mismo proceso puede tener distintos intervinientes y estar sujeto a diferentes normativas al mismo tiempo. Por ejemplo, en un proceso pueden convivir deberes de información, gestión de proveedores y normativa de consumidor.

Por lo tanto, es necesario mirar siempre los procesos de forma integral, revisando qué información se recopila, quién la trata, cuáles son los intervinientes y si existe evidencia del proceso.

Con esto se conecta la operación real de la organización con la protección de datos y con todas las normativas que la afectan transversalmente.

Usted cerró con una idea clave: la responsabilidad puede delegarse operativamente, pero nunca jurídicamente. ¿Qué implica esto para las empresas que externalizan servicios y cómo pueden demostrar que mantienen una gobernanza efectiva sobre los datos personales?

Implica que una empresa puede contratar proveedores, externalizar servicios y apoyarse en tecnología, pero no puede externalizar su responsabilidad sobre el tratamiento de los datos personales.

Aunque uno o más proveedores ejecuten una parte del proceso, el responsable sigue siendo el mandante.

¿Cómo se demuestra? Con evidencia. Para ello, siempre se debe comenzar con una correcta calificación jurídica. Luego, deben existir los contratos respectivos con instrucciones detalladas, reportes, auditorías y mecanismos de seguimiento.

Todo se resume en que, en protección de datos, el cumplimiento ya no se declara, sino que el estándar nos obliga a demostrarlo.