¿Qué son los subencargados? El riesgo de cuartas partes explicado

Un subencargado es un tercero al que tu proveedor recurre para que le ayude a tratar datos por cuenta tuya: el proveedor que hay detrás de tu proveedor. Entender a los subencargados consiste, en realidad, en entender el riesgo de cuartas partes: la exposición que vive un nivel más abajo en tu cadena de suministro, por donde viajan tus datos pero adonde normalmente no llegan directamente tus contratos. Este artículo es información general, no asesoramiento legal.

La cadena responsable, encargado, subencargado

La forma más clara de definir a los subencargados es mediante los roles del RGPD, que se han convertido en el vocabulario común incluso fuera de la UE:

• El responsable del tratamiento decide para qué y cómo se tratan los datos personales. Si recoges los datos de tus clientes para hacer funcionar tu producto, normalmente eres el responsable.
• El encargado del tratamiento trata esos datos por cuenta del responsable y siguiendo sus instrucciones documentadas. Las herramientas SaaS y los proveedores que contratas para gestionar datos son tus encargados.
• El subencargado es un tercero al que el encargado recurre para que le ayude a realizar el tratamiento. El alojamiento en la nube de tu proveedor, su servicio de envío de correo, su proveedor de analítica y sus herramientas de soporte son todos subencargados en tu cadena de datos.

Así que, cuando adoptas un solo producto SaaS, rara vez adoptas una sola empresa: heredas toda su pila de subencargados, y cada uno puede tocar tus datos. Las obligaciones deben descender por toda la cadena, y esa es la clave para gestionarla.

Por qué los subencargados son un riesgo de «cuartas partes»

Tus proveedores directos son tus terceros: los eliges, contratas con ellos y los evalúas. Sus subencargados son tus cuartas partes: por lo general no tienes ningún contrato ni relación directa con ellos y, sin embargo, pueden almacenar, transmitir o tratar tus datos. Ese carácter indirecto es justo el problema. Una brecha, una caída o un incumplimiento en un subencargado pueden exponer tus datos y activar tus obligaciones, aunque nunca hayas firmado nada con él y quizá no supieras que estaba en la cadena hasta que lo miraste. El riesgo de cuartas partes es más difícil de ver, más difícil de evaluar y fácil de olvidar, y precisamente por eso tanto los atacantes como los auditores le prestan atención.

Una variante especialmente importante es el riesgo de concentración. Cuando muchos de tus proveedores dependen discretamente del mismo puñado de prestadores subyacentes (una plataforma en la nube dominante, un servicio de autenticación popular, una CDN muy utilizada), un solo fallo o compromiso ahí puede propagarse a la vez por varios de tus servicios supuestamente independientes. Mapear a los subencargados es la forma de descubrir estas dependencias compartidas ocultas antes de que fallen juntas.

Qué exige el RGPD sobre los subencargados

El RGPD construye la cadena de forma explícita. Un encargado no debe recurrir a un subencargado sin la autorización del responsable: ya sea una autorización específica para subencargados con nombre, o una autorización general en la que el encargado debe informar al responsable de las incorporaciones o sustituciones previstas y darle la oportunidad de oponerse. Y cuando un encargado recurre a un subencargado, debe imponerle por contrato las mismas obligaciones de protección de datos que tiene con el responsable, y sigue siendo responsable ante este del cumplimiento del subencargado. Es la columna vertebral jurídica de las obligaciones en cascada: tus protecciones deben seguir a tus datos a lo largo de la cadena en lugar de quedarse en tu proveedor inmediato.

Listas de subencargados y avisos de cambios

En la práctica, los proveedores lo ponen en marcha con una lista de subencargados: una lista publicada de los terceros que usan para tratar los datos de los clientes, normalmente en una página de confianza o legal, a menudo con la finalidad y la ubicación del tratamiento de cada subencargado. Esa lista es tu ventana a tu propia cadena de datos de cuartas partes: te dice adónde van realmente tus datos, de qué prestadores subyacentes dependes indirectamente y dónde se produce el tratamiento geográficamente, lo que importa para las normas sobre transferencias internacionales. Los proveedores serios también ofrecen una forma de suscribirse a los avisos de cambios, para que, cuando añadan o cambien un subencargado, te enteres y puedas oponerte si lo necesitas. Si un proveedor no puede aportar una lista de subencargados, eso ya es un hallazgo en sí mismo.

Obligaciones en cascada en tus contratos

El contrato que hace realidad todo esto es el acuerdo de tratamiento de datos (DPA) con tu proveedor. Un buen DPA exige que cualquier subencargado quede obligado a obligaciones equivalentes de seguridad, confidencialidad, notificación de brechas y auditoría, mantiene a tu proveedor como responsable de sus subencargados y te da derechos de autorización y aviso previo de los cambios. Revisar esas cláusulas en cascada (y confirmar que no se vacían de contenido un nivel más abajo) es una parte central de la diligencia debida con los proveedores, y es justo el tipo de control que recoge una revisión estructurada. Nuestro checklist de evaluación de la seguridad de proveedores incluye preguntas sobre subencargados y obligaciones en cascada, y un vendor risk scorecard te da una forma repetible de comparar a los proveedores según la transparencia y el rigor con que gestionan el nivel que tienen debajo.

Cómo gestionan los programas TPRM a los subencargados

Una gestión madura del riesgo de terceros (TPRM) no se detiene en los proveedores con los que firmaste. Se extiende a sus subencargados relevantes de varias formas concretas: mantener un inventario de los proveedores clave y de sus subencargados críticos; evaluar el riesgo de concentración en toda la cartera para detectar puntos únicos de fallo compartidos; exigir y revisar las listas de subencargados y suscribirse a los avisos de cambios; incorporar a cada DPA los derechos en cascada, de auditoría y de notificación; y volver a evaluar cuando un proveedor cambia sus subencargados o cuando un subencargado sufre un incidente. Los cuestionarios estandarizados como el CAIQ piden a los proveedores que expliquen cómo gobiernan a sus propios suministradores, lo que te da una base coherente de comparación. El objetivo no es eliminar las cuartas partes (algo imposible en una pila moderna en la nube), sino hacer visible la cadena y asegurarte de que tus protecciones llegan hasta el final.

Preguntas frecuentes

¿Qué son los subencargados? Terceros a los que tu proveedor (el encargado) recurre para que le ayuden a tratar datos por cuenta tuya (el responsable); por ejemplo, el alojamiento en la nube, el servicio de correo o el proveedor de analítica de una herramienta SaaS.

¿Responsable, encargado o subencargado? El responsable decide para qué y cómo se tratan los datos; el encargado los trata siguiendo las instrucciones del responsable; el subencargado es una parte que el encargado incorpora para que le ayude, formando una cadena por la que deben descender las obligaciones.

¿Qué es el riesgo de cuartas partes? El riesgo que procede de los proveedores de tus proveedores: subencargados con los que no tienes un contrato directo pero cuya brecha o fallo puede seguir exponiendo tus datos, incluido el riesgo de concentración por prestadores subyacentes compartidos.

¿Qué es una lista de subencargados? La lista publicada por un proveedor de los terceros que usa para tratar los datos de los clientes; revela adónde van tus datos y es el mecanismo para recibir aviso de los cambios y oponerte a ellos.

¿Cómo descienden las protecciones? Mediante cláusulas en cascada: el RGPD exige que los encargados obliguen por contrato a los subencargados a obligaciones equivalentes y mantiene la responsabilidad del encargado, para que las protecciones que negociaste no desaparezcan un nivel más abajo.