Doce millones de registros en oferta y un call center: el riesgo de datos vive en tu proveedor

01Lo esencial

• Una autoridad federal alertó sobre la oferta de millones de datos personales que salieron de operaciones de atención telefónica.
• La prueba que mostró el vendedor mezclaba 13 bases: no era una sola cuenta, eran muchas empresas.
• La ley ya obliga a proteger y avisar. Lo que escasea es quien verifique el cumplimiento, y eso empieza en tu contrato.

Respuesta corta: cuando una base de clientes se expone en manos de un proveedor, la responsabilidad frente a la persona afectada no se muda con el dato. Sigue siendo de la empresa que lo recabó. Un contrato de servicios no es un escudo, es una cadena de custodia que alguien debe poder demostrar.

El caso que lo ilustra es reciente y sigue sin confirmarse en todos sus detalles. Una autoridad federal encontró en una app de mensajería a alguien que ofrecía una enorme colección de datos personales, procedentes de operaciones de atención telefónica.

02Qué sí se sabe y qué no

Lo público es poco. Para probar que el material era real, el vendedor enseñó una muestra de 13,000 filas tomadas de 13 bases diferentes. Ese detalle pesa más que la cifra grande, porque sugiere un acopio de varias fuentes y no la caída de un solo sistema.

No hay detalle abierto sobre el origen, la veracidad ni a quién pertenece cada base. Quien dirige una empresa debería leerlo así: es una alerta de procesos, no un veredicto sobre nadie en particular.

03Por qué un centro de atención concentra el riesgo

Un centro de atención opera con los datos de muchos clientes a la vez. Nombres, teléfonos y direcciones de varias marcas pasan por las mismas estaciones de trabajo, las mismas herramientas y, con frecuencia, el mismo personal rotativo.

Eso difumina la pregunta clave. Si una base se expone, el cliente final ve a la marca que le llamó. El proveedor lo ve como un incidente operativo. El área jurídica lo ve como un problema de contrato. Nadie ve el mismo problema.

04El mapa de quién toca qué

Antes de discutir culpas, hay un ejercicio que casi ningún comité hace completo: dibujar el recorrido real del dato. Desde el formulario donde nace hasta la última copia, incluidas las que viven en una hoja de cálculo de alguien.

05Cómo se ordena

• Captura: Formularios, tiendas, llamadas y campañas. Aquí se decide cuánto se pide, y todo lo que se pide hay que custodiarlo.
• Entrega al tercero: Agencias, centros de atención, plataformas de correo y de cobranza. Cada salida debe estar en un registro con responsable.
• Uso diario: Quién consulta, descarga y exporta. Una descarga masiva sin alerta es la señal que más se ignora.
• Baja: Qué se borra al terminar el servicio y quién lo certifica. Lo que no se borra sigue siendo tuyo.

06Lo que la ley ya resolvió y lo que no

La obligación existe: quien junta datos personales debe cuidarlos y avisar si se vulneran. No falta una norma nueva. Falta que alguien compruebe, de forma constante, que el cumplimiento sea real y no solo de papel.

Para tu empresa, eso se traduce en una decisión de gobierno. Si esperas a que una autoridad revise, llegarás tarde. La auditoría que importa es la que haces antes de que alguien más la pida.

Un aviso de privacidad correcto con una cadena de proveedores opaca es un barco con casco pintado y quilla rota. Se ve bien en el muelle.

07Cuatro cláusulas que sí cambian el riesgo

• Inventario vivo: el proveedor entrega y actualiza la lista de sistemas y personas que tocan tus datos.
• Controles verificables: acuerdos de confidencialidad y seguridad con derecho a revisión, no solo con declaraciones.
• Aviso inmediato: plazo corto y responsable nombrado para notificarte cualquier incidente.
• Baja certificada: constancia de borrado cuando el servicio termina, con copias de respaldo incluidas.

08Errores que conviene evitar

• Creer que subcontratar la operación también subcontrata la responsabilidad.
• Contratar un centro de atención por precio por llamada sin preguntar qué controles tiene.
• Mantener un aviso de privacidad que omite a los terceros que de verdad manejan los datos.
• Dar por buena una cifra sin confirmar: es una presunta venta, no un hecho probado.
• Pedir a cada área su propia lista de proveedores y nunca consolidarla en una sola.

09Y en México

la ley ya marca la obligación. Para un grupo con varias marcas, sedes o campañas, el hallazgo práctico es otro: cada marca contrata sus propios centros de atención, agencias y herramientas, y nadie ve el mapa completo. Una consolidación trimestral de proveedores con acceso a datos de clientes cuesta poco y evita descubrir la cadena en medio de una crisis.

10Checklist para aplicarlo

• Consolida en una sola lista a los proveedores con acceso a la información de tus clientes.
• Pide a cada uno su descripción de controles y quién tiene acceso.
• Compara esa lista con tu aviso de privacidad y corrige las diferencias.
• Define un plazo y un responsable para avisarte de incidentes.
• Programa una revisión trimestral del inventario.

11Qué hacer esta semana

Empieza por lo pequeño y medible: el inventario. Una tabla con proveedor, tipo de dato, quién accede y fecha de la última revisión ya permite hacer preguntas incómodas con fundamento.

12Para aplicar hoy

Reúne hoy en una sola tabla a los proveedores con acceso a tus bases de clientes, pídeles sus controles por escrito y compárala con tu aviso de privacidad.