Terceros · Proveedores · Protección de datos
Gestiona los riesgos de terceros que tratan datos personales
Proveedores tecnológicos, plataformas cloud, consultores y otros terceros pueden intervenir directamente en el tratamiento de datos de tu organización. Identificarlos, establecer responsabilidades y verificar sus controles es parte de una operación de privacidad y seguridad trazable.
Riesgo extendido
Tus datos también operan fuera de tu organización
CRM, ERP, plataformas cloud, proveedores de recursos humanos, marketing, almacenamiento, soporte tecnológico y otros servicios pueden acceder o tratar datos personales como parte de sus funciones. Gestionarlos requiere conocer qué datos reciben, para qué, bajo qué instrucciones y qué controles existen.
Roles
No todas las relaciones con terceros funcionan de la misma manera
Tercero mandatario o encargado
Trata datos personales por cuenta del responsable y de acuerdo con el encargo e instrucciones recibidas.
Cesión a otro responsable
Los datos se transfieren a otra organización que pasa a decidir sobre los fines y medios del tratamiento correspondiente.
Visibilidad
El primer paso es saber quién tiene acceso a tus datos
Antes de evaluar riesgos o contratos, necesitas una visión consolidada de los terceros que intervienen en tus tratamientos.
| Proveedor | Servicio | Datos tratados | Tratamiento | Rol | Sistema | Responsable interno | Nivel de riesgo | Estado |
|---|---|---|---|---|---|---|---|---|
| CRM cloud | Gestión comercial | Contactos, empresas, interacciones | Prospección y ventas | Encargado | CRM | Comercial | Medio | En revisión |
| Payroll externo | Remuneraciones | Trabajadores, datos contractuales, pagos | Gestión laboral | Encargado | RRHH | Personas | Alto | Contrato pendiente |
Ejemplo ilustrativo. La estructura debe adaptarse a los tratamientos y características de cada organización.
¿Qué deberías conocer de cada tercero?
La matriz de terceros debe levantar información suficiente para conectar proveedores con tratamientos, responsables, riesgos, contratos y evidencia disponible.
Trazabilidad
El RAT permite saber en qué tratamientos participa cada proveedor
El Registro de Actividades de Tratamiento (RAT) permite relacionar proveedores con datos, finalidades, sistemas, responsables y riesgos específicos.
Evaluación
No todos los proveedores presentan el mismo nivel de riesgo
La profundidad de la evaluación debe responder al tipo de datos involucrados, el nivel de acceso, el servicio prestado y las posibles consecuencias de una falla o uso inadecuado.
Clasifica el riesgo para decidir la profundidad de revisión
Exposición limitada
Servicios con acceso acotado, datos de baja criticidad o intervención indirecta en tratamientos.
Tratamientos relevantes
Proveedores que intervienen directamente en procesos, sistemas o datos relevantes para la operación.
Acceso amplio o impacto elevado
Proveedores con datos sensibles, infraestructura crítica, grandes volúmenes o alto impacto potencial.
Responsabilidades
El tratamiento por encargo debe estar formalmente definido
Cuando un tercero trata datos personales por cuenta del responsable, la relación debe regularse mediante contrato. Según la Ley 21.719 y obligaciones frente a terceros, el contrato debe establecer al menos el objeto y duración del encargo, finalidad, tipo de datos personales, categorías de titulares y derechos y obligaciones de las partes.
Objeto
Qué servicio o tratamiento realiza el proveedor.
Duración
Durante cuánto tiempo se ejecuta el encargo.
Finalidad
Para qué trata los datos personales.
Datos
Qué categorías de datos intervienen.
Titulares
A qué personas pertenecen los datos.
Responsabilidades
Qué debe hacer cada parte durante el encargo.
También necesitas conocer la cadena de proveedores
Un encargado puede depender de otras empresas para ejecutar determinadas funciones. La Ley 21.719 de Protección de Datos Personales establece que no puede delegar parte o la totalidad del encargo sin autorización específica y por escrito del responsable. Además, quien delega continúa siendo responsable respecto del encargo en los términos establecidos por la ley.
El proveedor debe tratar los datos dentro del alcance acordado
El encargado debe actuar conforme al encargo e instrucciones del responsable y no puede utilizar los datos para una finalidad distinta ni cederlos o entregarlos fuera de las autorizaciones establecidas. Esta revisión debe conectarse con el Consentimiento y bases de licitud aplicables a cada tratamiento.
Instrucción, finalidad y autorización
La relación con proveedores debe traducirse en instrucciones verificables, responsabilidades claras y controles consistentes con el tratamiento.
Seguridad
Evalúa los controles antes de confiar datos a un proveedor
La relación contractual necesita complementarse con una revisión de los controles técnicos y organizativos relevantes para los datos y servicios involucrados.
Define qué ocurre si el proveedor detecta una vulneración de seguridad
La respuesta ante incidentes debe establecer canales, responsables y escalamiento entre proveedor y organización. En el caso del tercero mandatario o encargado, la Ley 21.719 establece que debe reportar al responsable cuando exista una vulneración de las medidas de seguridad. Complementa este proceso con una ruta de Brechas e incidentes de seguridad de datos.
Riesgo
Los terceros también forman parte de la evaluación de impacto
Cuando un tratamiento requiere una Evaluación de Impacto en Protección de Datos (DPIA), los proveedores, plataformas y servicios involucrados forman parte del contexto que debe analizarse para identificar riesgos y definir medidas.
Gestiona al proveedor antes, durante y después del servicio
Proveedores, sistemas y tratamientos donde intervienen.
Datos tratados, criticidad, riesgo y controles esperados.
Roles, instrucciones, subencargos y obligaciones verificables.
Seguimiento de controles, vencimientos e incidentes.
Cambios en servicios, datos, países o tecnología usada.
Devolución, eliminación o tratamiento conforme al alcance.
En el cierre deben considerarse devolución, eliminación o tratamiento de los datos conforme al alcance aplicable.
La evaluación inicial no debería quedar congelada
Cambios en servicios, subencargados, sistemas, datos tratados o incidentes pueden modificar el riesgo de un proveedor. Una gestión madura incorpora revisión y actualización.
Accountability
Cada proveedor debe dejar una trazabilidad verificable
El objetivo es poder reconstruir por qué se contrató al proveedor, qué datos trata, qué responsabilidades existen y qué controles fueron evaluados.
Evaluación
Riesgo, finalidad y alcance revisados.
Rol
Responsable, encargado o subencargado.
Contrato
Instrucciones y obligaciones documentadas.
Controles
Medidas técnicas y organizativas exigibles.
Incidentes
Registro y respuesta ante vulneraciones.
Seguimiento
Actualización continua de evidencias.
Operación continua
Conecta proveedores, tratamientos, riesgos y evidencia
Pharus Privacy permite llevar la información de terceros dentro de una operación conectada con tratamientos, riesgos, responsables y evidencia.
Implementación
De una lista de proveedores a una gestión basada en riesgo
Identificar
Levantamos terceros, servicios y tratamientos.
Clasificar
Definimos rol, datos y nivel de exposición.
Evaluar
Revisamos riesgos, contratos y controles.
Corregir
Definimos brechas y acciones.
Operar
Establecemos responsables, seguimiento y evidencia.
Preguntas frecuentes
Preguntas frecuentes sobre terceros y proveedores
Respuestas breves para orientar la gestión de encargados, contratos, subencargados, riesgos y trazabilidad.
¿Qué es un tercero encargado de tratamiento?
Es una persona natural o jurídica que trata datos personales por cuenta del responsable, conforme a la Ley 21.719 de Protección de Datos Personales.
¿El encargado puede utilizar los datos para otra finalidad?
No dentro del encargo; debe sujetarse al objeto, instrucciones, autorizaciones aplicables y al consentimiento de datos personales o base de licitud que corresponda.
¿Debe existir contrato?
Sí, cuando se trata de tratamiento por tercero mandatario o encargado, la Ley 21.719 regula el contrato y sus contenidos mínimos.
¿Puede subcontratar?
Requiere autorización específica y escrita del responsable conforme a la Ley 21.719 de Protección de Datos Personales.
¿Encargado y cesionario son lo mismo?
No; un encargado actúa por cuenta del responsable, mientras una cesión implica transferencia a otro responsable.
¿Qué ocurre ante una vulneración de seguridad?
El encargado debe reportarla al responsable en los términos de la ley y activar el proceso de brechas e incidentes de seguridad.
¿Cómo se relaciona la gestión de terceros con el RAT?
El RAT — Registro de Actividades de Tratamiento permite identificar los tratamientos en los que intervienen terceros, facilitando su evaluación y seguimiento.
¿Necesitas identificar o evaluar a tus proveedores?
Cuéntanos cómo gestiona actualmente tu organización a los terceros que intervienen en tratamientos de datos y revisaremos contigo los próximos pasos para estructurar una gestión basada en riesgos y evidencia.