Externalizar no es desentenderse

Esta semana la Agencia Española de Protección de Datos y su homóloga griega han publicado una guía conjunta sobre lo que llaman "entornos de tratamiento seguro": espacios donde alguien puede trabajar con datos sensibles, sobre todo de salud, sin que esos datos salgan nunca de ese entorno controlado. No se envía una copia del archivo a quien investiga. Se le deja entrar, mirar, analizar, y que se vaya sin llevarse nada consigo. Es un cambio de modelo con sentido: compartir datos y dar acceso a datos no es lo mismo, y durante años hemos tratado ambas cosas como si lo fueran.

Pero el detalle de la guía que más me ha hecho pensar en mis clientes no es el entorno en sí. Es la advertencia sobre quién sigue siendo responsable cuando ese entorno lo gestiona un tercero. La AEPD y la autoridad griega son claras: contar con un proveedor, firmarle un contrato e incluso tener alguna certificación no es suficiente. Quien ofrece ese entorno tiene que mantener control real y efectivo sobre lo que pasa dentro, con capacidad de comprobarlo, aunque la infraestructura técnica la lleve otra empresa.

Llevo años viendo la misma idea repetirse, con otras palabras, en reuniones que no tienen nada que ver con investigación sanitaria. Un hotel que contrata un sistema de reservas en la nube y da por hecho que, a partir de ahí, la seguridad de esos datos es cosa del proveedor. Una clínica que usa un programa de gestión de pacientes de un tercero y entiende el contrato de encargado de tratamiento como un trámite, no como un compromiso que hay que comprobar que se cumple. Un negocio que delega toda su contabilidad en una gestoría externa y nunca pregunta cómo protege esa gestoría los datos que le ha entregado.

En ninguno de esos casos hay mala fe. Hay una idea bastante extendida: que externalizar algo es lo mismo que desentenderse de ello. Y legalmente no lo es. Si tus clientes o tus empleados confían sus datos a tu negocio, esa responsabilidad sigue siendo tuya aunque la herramienta, el servidor o el programa los gestione otra empresa. El contrato de encargado de tratamiento no traslada la responsabilidad entera. Reparte obligaciones, pero no te libra de vigilar que se cumplen.

Lo que me gusta de esta guía, aunque esté pensada para proyectos mucho más grandes que los de mis clientes habituales, es que pone nombre a algo que yo llevo tiempo explicando con ejemplos sueltos: la dependencia de un único proveedor es, en sí misma, un riesgo. No porque ese proveedor vaya a hacer algo mal, sino porque si un día deja de responder, cambia sus condiciones o simplemente desaparece, te quedas sin forma de recuperar el control sobre algo que nunca debiste soltar del todo.

Si trabajas con proveedores que gestionan datos de tus clientes o empleados, te propongo una pregunta más útil que "¿tengo el contrato firmado?": ¿sabes qué evidencias te permiten comprobar, de verdad, lo que ese proveedor hace con el acceso que le has dado? Si la respuesta es que confías porque el contrato lo dice, no has terminado de hacer tu trabajo. Solo has delegado la parte que se puede escribir en un papel.

Rubén Cerviño Pérez, fundador de Guardián de Datos