Contratos y proveedores, quién avisa a quién

La Ley 1581 de 2012 distingue dos papeles. El responsable decide sobre la base de datos y el tratamiento: es quien responde frente a la persona y la autoridad. El encargado trata los datos por cuenta del responsable, según sus instrucciones: un proveedor de alojamiento o de correo masivo suele serlo. El Reglamento (UE) 2016/679 usa los términos equivalentes de responsable y encargado del tratamiento.

Esto cambia quién avisa a quién. En el Reglamento, el encargado que tiene constancia de una violación debe notificarla al responsable sin dilación indebida; es el responsable quien notifica a la autoridad. El contrato suele concretar horas, canal y contacto.

Abre la consola y lee los contratos. Cada uno fija el plazo en horas en que el proveedor debe avisar y la dirección a la que debe hacerlo. Un plazo corto es una decisión de negocio: el proveedor que guarda la base completa de clientes se compromete a menos horas que uno que solo envía correos.

El plazo contractual se cuenta desde que el proveedor detecta el incidente. Con la hora de detección que anota el proveedor y las horas del contrato se calcula la hora límite. Es una cuenta simple, pero por eso mismo conviene hacerla una vez, con los datos delante, y dejarla escrita.

Un aviso llega por canales distintos. El contrato designa un contacto, y un aviso enviado a otro buzón, como el de soporte, puede quedar sin leer o no ser reconocido como aviso formal. El analista no decide cuál cuenta, pero identifica cuál llegó al contacto designado y a qué hora: esa hora es clave para jurídico, porque suele ser el momento en que la empresa tiene constancia.

Para saber qué pasó en el proveedor, el analista pide evidencia por el canal que fija el contrato: registros, hora de detección, alcance. No entra a los sistemas del proveedor ni los consulta por su cuenta, aunque tenga acceso técnico a algún panel: esos sistemas no son de su empresa, y acceder sin autorización de ellos y de jurídico es un riesgo legal nuevo. Todo lo que el proveedor entrega se registra con su fecha y su origen, como cualquier otra pieza.