Inicio/Protección de datos/Encargados de tratamiento
Contratos de encargado de tratamiento
Cada proveedor que accede a datos personales de sus clientes, de sus empleados o de sus candidatos necesita un contrato específico. Es la obligación que más veces falta y la más sencilla de resolver, y su ausencia se detecta con una sola pregunta durante cualquier actuación de la autoridad.
Quién es encargado
Quien trata datos personales por cuenta del responsable, siguiendo sus instrucciones y sin decidir los fines. En una empresa mediana la lista es más larga de lo que parece: la gestoría que hace las nóminas, el proveedor informático que administra los sistemas, la empresa de alojamiento, la plataforma de correo comercial, el CRM, la herramienta de facturación, la empresa de destrucción documental, la de prevención de riesgos, la de videovigilancia y la agencia que gestiona la web.
Si el tercero decide para qué usa los datos, no es encargado sino responsable, y entonces no hay encargo sino cesión, que necesita su propia base jurídica. Confundir ambas figuras lleva a firmar el contrato equivocado, que no cubre nada.
Contenido obligatorio
- Objeto, duración, naturaleza y fin del tratamiento, tipo de datos y categorías de interesados.
- Tratamiento solo conforme a instrucciones documentadas del responsable.
- Confidencialidad de las personas autorizadas a tratar los datos.
- Medidas de seguridad adecuadas al riesgo.
- Subencargados: autorización previa, específica o general, con información de los cambios.
- Asistencia al responsable en el ejercicio de derechos, en la seguridad, en las brechas y en las evaluaciones de impacto.
- Supresión o devolución de los datos al finalizar la prestación, a elección del responsable.
- Información y auditoría: puesta a disposición de la información necesaria para demostrar el cumplimiento.
Los proveedores que imponen su contrato
Las grandes plataformas tecnológicas ofrecen sus propios acuerdos de tratamiento, no negociables. Aceptarlos es normalmente la única opción, pero hay que leerlos: interesa saber dónde se ubican los datos, qué subencargados usan, qué compromisos de seguridad asumen realmente y qué ocurre con la información al terminar el contrato. Y hay que conservar la evidencia de su aceptación, porque forma parte de la documentación de cumplimiento.
| Proveedor típico | Datos a los que accede |
|---|---|
| Gestoría laboral | Datos de empleados, incluidos de salud por bajas |
| Proveedor informático | Todos los sistemas de la empresa |
| Alojamiento y correo | Comunicaciones y datos de clientes |
| CRM y marketing | Contactos comerciales y clientes |
| Prevención de riesgos | Datos de salud de la plantilla |
| Seguridad y videovigilancia | Imágenes de personas |
| Destrucción documental | Documentación con datos personales |
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre los encargados de tratamiento
¿Respondemos de lo que haga el proveedor?
El responsable debe elegir encargados que ofrezcan garantías suficientes y responde de esa elección y de las instrucciones que imparte. Si el encargado incumple, responde por su parte, pero el responsable puede verse afectado si no cumplió su deber de diligencia en la selección y en el control. Por eso el contrato importa: es la prueba de que se establecieron las obligaciones y de que se exigieron garantías.
Nuestro proveedor dice que no hace falta contrato.
Se equivoca, y esa respuesta es en sí misma una señal sobre su nivel de cumplimiento. La obligación de formalizar el encargo por contrato u otro acto jurídico es del RGPD y no admite excepción por tamaño ni por confianza. Un proveedor que se niega a firmarlo es un proveedor cuyo tratamiento de los datos de sus clientes conviene revisar.
¿Vale una cláusula dentro del contrato principal?
Sí, siempre que contenga todo lo que exige el artículo 28. Puede ir como anexo del contrato de servicios, que es lo más práctico, o como documento independiente. Lo que no vale es una mención genérica del tipo «las partes cumplirán la normativa de protección de datos», que no establece instrucciones, ni subencargados, ni supresión, ni asistencia.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.