Imagen generada con IA.
Una empresa puede blindar sus propios sistemas y aun así sufrir una brecha de datos masiva si el eslabón débil está en un proveedor externo. Eso es justo lo que le ocurrió a un call center subcontratado por varias comercializadoras energéticas para gestionar la atención a sus clientes: un ciberataque expuso los datos de 808.000 personas, y la AEPD ha impuesto una multa de 500.000 euros. El caso deja varias lecciones incómodas sobre subcontratación y protección de datos.
El caso: un contact center subcontratado sufre un ciberataque sin detectarlo
El call center prestaba servicios de atención telefónica para distintas comercializadoras del sector energético, gestionando en su nombre datos de clientes: nombres, direcciones, números de contrato y, en algunos casos, datos bancarios. Un ciberataque logró acceder a sus sistemas y sustraer información de 808.000 personas. Lo más grave no fue solo el volumen de datos afectados, sino que la propia empresa subcontratada no detectó el incidente por sus propios medios: fueron las compañías energéticas clientas quienes advirtieron movimientos anómalos y dieron la voz de alarma.
El artículo 28 RGPD y la responsabilidad del encargado del tratamiento
Cuando una empresa subcontrata el tratamiento de datos personales a un tercero, ese tercero actúa como «encargado del tratamiento» en los términos del artículo 28 RGPD. La norma exige que el encargado ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, y que el contrato entre ambas partes detalle esas obligaciones de seguridad. La AEPD consideró que el call center incumplió el deber de implementar medidas adecuadas para detectar y responder a incidentes de seguridad, lo que constituye una infracción del artículo 5.1.f) RGPD sobre integridad y confidencialidad, además del propio artículo 28.
Por qué las energéticas clientas detectaron la brecha antes que el propio call center
Uno de los datos más llamativos del expediente es que las comercializadoras energéticas —es decir, las empresas responsables del tratamiento que habían contratado al call center— fueron quienes detectaron primero indicios de la brecha, no el propio encargado. Esto evidencia una carencia estructural: el proveedor subcontratado no contaba con sistemas de monitorización y detección de incidentes proporcionales al volumen de datos personales que gestionaba. Para la AEPD, esta falta de capacidad de detección propia agrava la responsabilidad, porque el artículo 33 RGPD exige notificar una brecha en un plazo de 72 horas desde que se tiene conocimiento de ella, y ese plazo difícilmente puede cumplirse si la propia empresa no es capaz de detectar el incidente por sí misma.
Qué cláusulas de seguridad debe exigir tu empresa a sus proveedores
Este caso es un aviso para cualquier empresa que subcontrate la gestión de datos de clientes a un tercero, ya sea un call center, una gestoría o un proveedor tecnológico. Antes de firmar, conviene exigir contractualmente:
- Contrato de encargado del tratamiento detallado. Que recoja expresamente las medidas de seguridad exigidas, el alcance del tratamiento y las instrucciones documentadas, conforme al artículo 28.3 RGPD.
- Capacidad real de detección y respuesta a incidentes. Sistemas de monitorización activos, no solo protocolos sobre el papel.
- Obligación de notificación inmediata. Cláusulas que obliguen al proveedor a informar al responsable en cuanto tenga indicios de un incidente, sin esperar confirmación total.
- Derecho de auditoría. La posibilidad de auditar periódicamente las medidas de seguridad del encargado, no solo confiar en su palabra.
- Subcontratación en cadena controlada. Si el encargado a su vez subcontrata parte del servicio, debe informar y obtener autorización, tal como exige el propio artículo 28 RGPD.
La sanción de 500.000 euros recae sobre el call center como encargado del tratamiento, pero el episodio recuerda que las empresas responsables tampoco quedan libres de exigencias: deben seleccionar proveedores con garantías reales y vigilar que esas garantías se cumplan en la práctica, no solo sobre el papel del contrato.
Fuente: Diario LA LEY
En Dataibérica ayudamos a empresas y autónomos a revisar sus contratos de encargo del tratamiento y las garantías de seguridad de sus proveedores y subcontratas. Si quieres revisar tu caso, contacta con nosotros.
