Control de los subencargados del tratamiento: situación de incumplimiento continuado.

Riesgos

1. Desconocimiento de su existencia
Ni el responsable ni el encargado del tratamiento son capaces de determinar con exactitud los distintos proveedores que acceden a los datos personales que tratan en sus sistemas.

2. Dispersión fractal
Cada empresa tiene su propio universo de encargados y subencargados del tratamiento que acceden a los datos personales de forma no lineal, sino fractal o arborescente, de manera que cada encargado tiene sus subencargados y cada nivel de subencargados tiene un segundo nivel de subencargados. La estructura fractal de las subcontrataciones hace que cada vez que analizamos un encargado del tratamiento surja una lista larga de subencargados, y al analizar cada uno de ellos surge otra lista de subencargados, y así hasta crear una red de subcontrataciones muy compleja e imposible de gestionar sin un presupuesto que resulta inasumible.

3. Longitud de la cadena
Si aplicamos la lista de más de 100 proveedores que habitualmente acceden a los múltiples tratamientos de una empresa a cada nivel de subcontratación y sumamos la dispersión fractal, la longitud de la cadena puede tender al infinito.

4. Debilitamiento del control
El control del responsable del tratamiento sobre cada nivel de la cadena de suministro de servicios de encargado y subencargado del tratamiento se va debilitando en la medida en que el tratamiento se aleja de su perímetro de control. Si a este efecto centrífugo se suma la dispersión fractal, el control sobre el tratamiento puede llegar a ser cero.

Agujero negro del RGPD número 1 – Control de los subencargados del tratamiento