Compartición de datos con terceros: qué puede transferir una empresa a sus socios

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

Compartir información de clientes con proveedores, socios comerciales y prestadores de servicios se ha vuelto algo habitual en la economía digital, pero la Ley General de Protección de Datos de Brasil impone límites estrictos a esa circulación. Sin una base legal adecuada, sin transparencia hacia el titular y sin una correcta distribución de responsabilidades en la cadena de tratamiento, la transferencia de datos deja de ser eficiencia operativa y se convierte en exposición jurídica.

Toda transferencia de datos exige una base legal propia

El primer error de las empresas consiste en presumir que, por tener ya los datos del cliente, pueden transferirlos libremente a terceros. La Ley 13.709/2018 no funciona así. Cada operación de tratamiento, y la transferencia a proveedores es una de ellas, debe apoyarse en alguno de los supuestos del artículo 7º de la ley.

Las bases legales más comunes en este escenario son la ejecución de un contrato, el cumplimiento de una obligación legal o regulatoria, el interés legítimo del controlador y el consentimiento del titular. La elección no es libre ni intercambiable: depende de la finalidad concreta de la compartición y del tipo de dato involucrado.

Cuando la transferencia sirve para hacer posible el propio contrato celebrado con el cliente, como el envío de la dirección a una empresa de transporte, la base natural es la ejecución contractual. En cambio, las comparticiones destinadas a marketing, enriquecimiento de perfiles o monetización rara vez se sostienen sin un consentimiento específico y destacado.

El punto sensible es el interés legítimo. No es un comodín. Su uso exige una prueba de proporcionalidad documentada, el llamado informe de impacto o evaluación de interés legítimo, capaz de demostrar que la finalidad es concreta, que los datos son estrictamente necesarios y que se tuvieron en cuenta las expectativas legítimas del titular.

Tratándose de datos sensibles, los del artículo 11 (salud, biometría, convicción religiosa, afiliación sindical, entre otros), el rigor aumenta. Los supuestos de tratamiento son más restringidos y, a falta de previsión específica, el consentimiento debe ser destacado y referirse a una finalidad determinada. Transferir datos sensibles a socios sin una base sólida es una de las conductas de mayor riesgo sancionatorio.

El titular debe saber adónde van sus datos

La transparencia es un principio estructurante de la ley (artículo 6º, inciso VI) y adquiere un contorno concreto en el deber de informar del artículo 9º. El titular tiene derecho a acceder de forma sencilla a información clara sobre la finalidad del tratamiento, su forma y su duración y, de manera expresa, sobre el uso compartido de los datos y la identificación de los destinatarios.

Esto significa que la política de privacidad no puede limitarse a fórmulas genéricas del tipo «podremos compartir sus datos con socios». El texto debe indicar las categorías de destinatarios, las finalidades de cada compartición y la base legal correspondiente. Cuanto más vago sea el documento, más frágil será la defensa de la empresa ante la autoridad y ante el Poder Judicial.

El deber de informar no se agota en el momento de la recolección. Si surge una nueva finalidad de compartición, incompatible con la comunicada originalmente, el tratamiento anterior no la legitima. En ese caso, es necesario informar nuevamente al titular y, según la base legal aplicable, obtener un nuevo consentimiento.

Existe además el derecho del titular a cuestionar la compartición. Puede solicitar información sobre las entidades públicas y privadas con las que el controlador compartió sus datos, revocar el consentimiento y requerir la eliminación de los datos tratados con base en esa autorización. La estructura para atender estas solicitudes debe existir antes de que lleguen.

La falta de transparencia suele subestimarse porque no genera un daño inmediato visible. Pero es justamente ella la que, en una fiscalización o en una acción judicial, revela si la empresa trataba los datos de forma leal o si simplemente transfería información a escondidas, esperando que nadie preguntara.

La lectura conjunta de estos deberes deja claro que informar es una condición de legitimidad, y no una formalidad accesoria.

Compartir datos sin base legal y sin informar al titular no es eficiencia operativa, es un pasivo jurídico a la espera de una fiscalización.

Definida la base legal y cumplido el deber de informar, queda el problema que más litigios genera: saber quién responde cuando algo sale mal en la cadena.

La responsabilidad acompaña al dato a lo largo de la cadena

La ley distingue dos roles centrales. El controlador es quien toma las decisiones sobre el tratamiento (artículo 5º, inciso VI). El operador realiza el tratamiento en nombre del controlador y conforme a sus instrucciones (inciso VII y artículo 39). Los proveedores y socios pueden asumir cualquiera de los dos roles, y la clasificación correcta define el régimen de responsabilidad.

Cuando el socio actúa como operador, debe seguir estrictamente las instrucciones del controlador. Si se excede de ellas o incumple la ley, pasa a responder como controlador respecto de esa conducta. Por eso, la etiqueta contractual de «mero prestador» no protege a quien, en la práctica, decide las finalidades y los medios del tratamiento.

El artículo 42 establece el deber de reparar el daño patrimonial, moral, individual o colectivo causado en violación de la legislación. El párrafo primero prevé responsabilidad solidaria: el operador responde solidariamente cuando incumple sus obligaciones o no sigue las instrucciones lícitas del controlador, y los controladores directamente involucrados en el tratamiento responden solidariamente por los daños.

En la práctica, esto desmonta la ilusión de que «el dato salió de mi empresa, por lo tanto el problema es del socio». Si el controlador eligió mal al proveedor, dejó de fiscalizarlo o transfirió datos sin base legal, permanece en la primera línea de la reparación, aunque la violación material haya ocurrido del otro lado.

La ley prevé supuestos de exclusión de responsabilidad en el artículo 43: probar que no realizó el tratamiento, que no hubo violación a pesar de haberlo realizado, o que el daño se debió a culpa exclusiva del titular o de un tercero. La carga de probar estas excluyentes recae sobre el agente, lo que refuerza la importancia de la documentación.

Los contratos y la gobernanza son la línea de defensa concreta

Ante este régimen, el instrumento contractual entre el controlador y el proveedor deja de ser burocracia. Es la pieza que delimita las finalidades, prohíbe usos secundarios, impone medidas de seguridad, regula la subcontratación y prevé la devolución o eliminación de los datos al término de la relación.

Un contrato bien construido define al socio como operador, establece que tratará los datos solo conforme a instrucciones y fija obligaciones de notificación de incidentes. La comunicación de incidentes de seguridad a la autoridad nacional y al titular, prevista en el artículo 48, depende de que el controlador sea informado a tiempo por el eslabón que sufrió la falla.

La gobernanza complementa el contrato. Mapear qué datos se comparten, con quién, bajo qué base legal y por cuánto tiempo es lo mínimo exigible a quien trata datos a gran escala. Sin ese inventario, la empresa no puede responder a las solicitudes de los titulares ni demostrar cumplimiento ante una fiscalización.

La auditoría periódica de los socios cierra el ciclo. No basta con firmar un contrato sólido e ignorar cómo el proveedor trata efectivamente los datos. La elección y la supervisión diligente del operador forman parte del propio deber de seguridad del controlador, y su ausencia pesa al evaluar la responsabilidad.

La compartición de datos, por lo tanto, no está prohibida por la legislación. Lo que la ley exige es que se haga con una base legal identificada, se comunique al titular con claridad y se sustente en una cadena contractual que distribuya las responsabilidades de forma expresa. Las empresas que tratan la transferencia de datos como una decisión jurídica, y no solo operativa, reducen el riesgo y preservan la confianza de sus clientes.

Preguntas frecuentes

¿Necesito el consentimiento del cliente para compartir datos con un proveedor?

No siempre. El consentimiento es solo una de las bases legales posibles. Si la compartición es indispensable para ejecutar el contrato celebrado con el cliente, como enviar la dirección a una empresa de transporte, la base puede ser la ejecución contractual. En cambio, las comparticiones con fines de marketing o monetización suelen exigir un consentimiento específico y destacado. La regla es elegir la base legal adecuada a la finalidad concreta, y no presumir que la posesión de los datos autoriza cualquier transferencia.

Si la filtración ocurrió en el proveedor, ¿mi empresa queda exenta de responsabilidad?

No necesariamente. Según el artículo 42 de la ley, los controladores involucrados en el tratamiento pueden responder solidariamente por los daños, y el operador responde de forma solidaria cuando incumple sus obligaciones. La empresa que eligió mal al socio, dejó de fiscalizarlo o transfirió datos sin base legal permanece expuesta. La exclusión de responsabilidad depende de probar una de las excluyentes del artículo 43, y esa carga recae sobre el propio agente de tratamiento.

¿Qué debe decir la política de privacidad sobre la compartición?

La política debe informar, de forma clara y accesible, las finalidades del tratamiento, las categorías de destinatarios con quienes se comparten los datos y la base legal de cada operación. Las fórmulas genéricas, como afirmar que los datos «podrán ser compartidos con socios», no cumplen el deber de transparencia del artículo 9º. Cuanto más preciso sea el documento, más sólida será la demostración de cumplimiento ante la autoridad y en una eventual disputa judicial.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.