Resumen

  • El aviso de DoorDash de septiembre de 2019 describió un acceso no autorizado a datos custodiados por uno de sus proveedores externos y afectó a unos 4,9 millones de clientes, Dashers y comercios; la empresa afirmó haber asegurado sus sistemas, reforzado protocolos y avisado a las personas afectadas.
  • El acuerdo californiano de febrero de 2024 resolvió imputaciones sobre las propias prácticas de venta e información de DoorDash bajo la California Consumer Privacy Act y la California Online Privacy Protection Act, no sobre el incidente de 2019.
  • Lo relevante no es que hubiera un proveedor implicado. Es que el registro público nunca dice quién era dueño del control que falló y nunca produce prueba de que la frontera se corrigiera y siguiera corregida.

Una frase que hace dos trabajos

El aviso de septiembre de 2019 fue inusualmente concreto en las categorías. Nombres. Correos electrónicos. Direcciones de entrega. Historial de pedidos. Contraseñas con hash. Algunos casos de los cuatro últimos dígitos de tarjetas de pago de clientes. También fue concreto en la escala: unos 4,9 millones de personas entre clientes, Dashers y comercios (el resumen del incidente elaborado a partir de esa declaración).

Y después viene la frase que ha sostenido todo el relato: el acceso ocurrió en uno de los proveedores externos de DoorDash.

Esa frase dice con honestidad dónde estaban los datos. No dice nada sobre dónde falló el control. Son hechos distintos, en manos de empresas distintas, demostrables con registros distintos. Una década de brechas por interposición de proveedores enseñó a los equipos de comunicación a fundir ambos hechos, porque la fusión es defendible de un modo en que nombrar al dueño del control no lo es.

Lea el aviso como una afirmación y no como una conclusión, y aparece la forma del problema.

Una plataforma de reparto es una organización de compras vestida de aplicación

DoorDash eligió a ese proveedor, negoció las condiciones, concedió el acceso, pagó la factura y conservó la relación con el cliente. La persona cuya dirección de entrega estaba en las tablas del proveedor no tenía ninguna relación con el proveedor. Tenía relación con una aplicación, y la aplicación tenía un suministrador.

El operador conserva, por tanto, lo que el proveedor no tiene: la obligación pública. Cuando la pérdida se hizo pública, fue DoorDash quien debía una explicación a 4,9 millones de personas, y DoorDash quien les debía un paso siguiente. En su propio relato de la respuesta, la empresa afirmó haber tomado medidas para asegurar sus sistemas, reforzado sus protocolos de seguridad y notificado a las personas afectadas (el mismo resumen).

Es una declaración de actividad. No es una matriz de controles, ni una conclusión de causa raíz, ni el resultado de una prueba independiente. La distinción importa porque una brecha ocurrida en el entorno de un proveedor es justo el caso en que el trabajo de aseguramiento del operador —y no su trabajo de endurecimiento— determina si la reparación es real. Endurecer el perímetro propio no hace nada por una debilidad alojada en el espacio de otro. Revisar el espacio de otro es otra disciplina, con otros costes, y deja otro tipo de papel.

Lo que California persiguió de verdad

En febrero de 2024, la Fiscalía General de California anunció un acuerdo con DoorDash. Las imputaciones se apoyaban en la California Consumer Privacy Act y la California Online Privacy Protection Act y versaban sobre la venta de información personal de consumidores sin aviso ni posibilidad de oponerse, junto con mandatos judiciales sobre las prácticas de datos de la empresa (el anuncio de la Fiscalía General; la cobertura judicial contemporánea).

La cifra anunciada no se repite aquí. El anuncio de la Fiscalía y la cobertura describen el mismo documento en términos incompatibles, y ninguno de los textos conservados para este artículo recoge las palabras exactas del editor sobre la cifra. Un número sobre el que tres lecturas de un mismo anuncio no coinciden no es prueba; es un error de redondeo con nota de prensa adjunta.

El objeto de la acción es el hecho más interesante. California persiguió lo que DoorDash decía sobre su propia venta de datos. No persiguió lo que un proveedor hizo con los datos de DoorDash en 2019. En la declaración de 2019 y en los dos documentos californianos revisados para este artículo no aparece ninguna sanción, orden, obligación ni recuperación contractual vinculada al incidente.

Es una observación acotada a un conjunto pequeño de documentos, no la afirmación de que no ocurriera nada en otro sitio. Existen acuerdos confidenciales. Existen recuperaciones de seguros. Existen requerimientos privados. Ninguno está en el expediente, y un expediente al que le falta un cajón no es lo mismo que un expediente vacío.

Por qué la separación es la historia

Un regulador con agenda finita persigue la infracción que puede probar con documentos que la propia empresa publicó. «Vendiste mis datos y no me lo dijiste» es una frase que se puede contrastar con una política de privacidad. «El entorno de tu proveedor tenía una falla de control en el verano de 2019» es una frase que exige los registros de otro, la cooperación de otro y una teoría del control imputado que pocas agencias quieren litigar contra una empresa que ya envió las cartas.

El incentivo funciona al revés. La notificación es barata, rápida, legalmente exigible y narrativamente controlable: una carta, una disculpa, un compromiso. El aseguramiento es caro, lento, jurídicamente opcional en casi todas partes y narrativamente peligroso, porque produce documentos que pueden estar equivocados por escrito.

Esta redacción ya examinó lo que se filtró cuando el incidente era reciente, y de nuevo en julio de 2026. La pregunta que queda no es qué contenía el expediente sobre 4,9 millones de personas. Es qué debería contener el expediente interno de la empresa sobre esa frontera, y si alguien fuera de la empresa puede distinguir una reparación de una línea de comunicación.

Seis piezas que lo resolverían

Si la frontera del proveedor se hubiera reparado de verdad, existirían seis objetos. Cada uno es un documento. Cada uno tiene autor, fecha y lector.

Un registro de alcance. El proveedor, el servicio, los sistemas tocados, las clases de datos implicadas y los posibles subencargados por debajo. No necesariamente para publicación íntegra, pero legible por un regulador, un auditor o un asegurador.

Una matriz de propiedad de controles. Para cada control situado en la frontera —revisión de accesos, cifrado, registro de eventos, alertas, gestión de credenciales— la empresa que lo posee y la persona responsable dentro de esa empresa. «El proveedor era responsable de la seguridad» no es una matriz. Es una excusa con sujeto gramatical.

Un hallazgo de causa raíz atado al incidente. La ruta de acceso, el control que debía haberla detenido y la razón por la que no lo hizo. Un hallazgo que nombra un mecanismo y no una categoría.

Un registro de acciones correctivas. Cada acción, su responsable, su fecha de implantación y si una prueba independiente la confirmó. Las fechas separan un registro de una lista de deseos.

Cláusulas contractuales con dientes. Plazos de notificación medibles, derechos de auditoría que sobrevivan a una negativa, plazos de remediación con consecuencias económicas y una vía de rescisión o sustitución realmente ejercida o creíblemente esgrimida.

Una nueva prueba. El mismo control, probado más tarde, por alguien que no reporta a quienes escribieron el primer informe. Una prueba limpia tras una brecha es un dato. Una prueba limpia un año después es un control.

Nada de eso se publicó para la pérdida de 2019. Parte puede existir en privado. La ausencia de publicación es el hallazgo, y es más estrecho y más útil que la versión popular, según la cual la culpa era de un proveedor. Puede que lo fuera. Nadie fuera de la empresa puede decirlo, y ese es precisamente el problema: un público incapaz de distinguir un fallo de proveedor de un fallo de gobierno del operador no tiene forma de poner precio a ninguno de los dos.

Qué debería responder el próximo aviso

Las notificaciones son mensajes. Los controles son piezas. El aviso de 2019 dijo a 4,9 millones de personas qué contenía el archivo sobre ellas. No les dijo si la organización que lo perdió sabía describir su propia frontera, mucho menos corregirla, y el expediente no se ha ampliado desde entonces de ninguna manera que un lector pueda comprobar.

El estándar del próximo aviso no debería ser nombrar al proveedor. Nombrar es una cortesía que a veces choca con una investigación en curso. El estándar debería ser probar que el operador volvió a mirar: quién era dueño del control, qué cambió, cuándo se probó y qué encontró la prueba. Cualquier empresa puede prometerlo. Solo una empresa con los papeles puede mostrarlo.