Tabla de contenidos
En cuanto un proveedor trata datos personales por cuenta tuya hace falta un contrato sobre ello. Pasa más a menudo de lo que suponen la mayoría de los negocios, y ese contrato resuelve menos de lo que promete su fama
El art. 28 del RGPD regula una situación sencilla: tú decides para qué y con qué medios se tratan unos datos, y otra persona lo ejecuta por ti. Tú eres entonces responsable del tratamiento (art. 4.7) y la otra parte es encargado del tratamiento (art. 4.8). Para esa relación el Reglamento exige un contrato con un contenido determinado; en la práctica española se le llama contrato de encargo de tratamiento.
Ese contrato no es un impreso que se archiva y se olvida, pero tampoco es un proyecto. Los proveedores serios lo tienen preparado y se firma en diez minutos. El esfuerzo está en saber con quién hace falta. Este artículo lo responde por orden y sigue siendo una orientación; la calificación de un proveedor concreto solo pueden cerrarla la AEPD o un asesoramiento jurídico.
1. ¿Quién trata aquí por cuenta de quién?
La distinción lo es todo. Responsable del tratamiento es quien determina los fines y medios del tratamiento. Encargado del tratamiento es quien trata datos personales por cuenta del responsable, es decir, siguiendo instrucciones y sin fines propios.
La frase de control es corta: ¿quién determina para qué están los datos? Si lo determinas tú y la otra parte ejecuta, es encargo de tratamiento. Si la otra parte persigue fines propios, impuestos por la ley o por su profesión, es responsable por sí misma: entonces hay dos responsables uno detrás de otro y ningún contrato de encargo.
El art. 28.10 pone detrás un límite claro: un encargado que, infringiendo el Reglamento, determine él mismo los fines y medios será considerado responsable de ese tratamiento. Quien usa tus datos de clientes para análisis propios deja de ser encargado, diga lo que diga el contrato. Por eso un contrato de encargo no fija el papel de cada cual: solo lo describe.
No toda cesión es encargo de tratamiento. Si entregas datos a alguien que los necesita bajo su propia responsabilidad, eso es una comunicación con base jurídica propia, y para ella necesitas una base del art. 6.1, no un contrato del art. 28.
Un contrato de encargo no hace lícito un tratamiento. Solo regula quién puede hacer qué.
2. Dónde se esconde el encargo en un negocio pequeño
La lista es más larga de lo que parece, porque la mayoría de las posiciones no se llaman «tratamiento de datos».
| Proveedor | Calificación |
|---|---|
| Software de citas, TPV o sectorial en la nube | encargo de tratamiento |
| Envío de newsletter y de SMS | encargo de tratamiento |
| Alojamiento web y buzones de correo | encargo de tratamiento |
| Soporte informático externo con acceso a los sistemas | encargo de tratamiento |
| Nóminas o contabilidad externas como puro servicio | encargo de tratamiento |
| Destrucción de documentos por una empresa especializada | encargo de tratamiento |
| Asesoría fiscal en el marco de su normativa profesional | discutido, a menudo responsable propio |
| Banco, aseguradora, administración | responsable propio |
La penúltima fila es la que se discute de verdad. Donde un despacho cumple deberes profesionales propios y no trabaja siguiendo instrucciones, se le suele calificar como responsable por sí mismo; si además hace tareas de pura ejecución, la calificación puede ser otra. Pregunta al proveedor cómo se ve a sí mismo y haz que te lo dé por escrito.
Con el software, en cambio, no hay discusión. Quien guarda tus datos de clientes por ti es encargado del tratamiento y tiene que tener un contrato preparado. Si falta, o solo se consigue tras varias semanas y a base de insistir, eso es un dato sobre el proveedor. El software para salones, por ejemplo, lo pone a disposición como cualquier proveedor de su clase; esa pregunta pertenece a las preguntas que resuelves antes de la primera demo, no a la semana siguiente a la firma.
3. Qué tiene que poner dentro
Antes del contrato hay un deber que se pasa por alto con facilidad. El art. 28.1 exige que trabajes solo con encargados que ofrezcan garantías suficientes, es decir, que tomes una decisión de selección antes de firmar. Un contrato con un proveedor inadecuado no cura su inadecuación.
El art. 28.3 nombra primero los datos básicos: objeto y duración, naturaleza y finalidad, tipo de datos, categorías de interesados, y derechos y obligaciones del responsable. Después vienen ocho puntos que el contrato tiene que prever:
- tratar los datos solo siguiendo instrucciones documentadas, también en transferencias a terceros países;
- compromiso de confidencialidad de las personas que intervienen;
- aplicación de las medidas de seguridad del art. 32;
- respeto de las condiciones para recurrir a otro encargado;
- asistencia ante las solicitudes de los interesados, es decir, acceso, rectificación y supresión;
- asistencia en seguridad, notificación de violaciones y evaluación de impacto (arts. 32 a 36);
- al terminar el servicio, suprimir o devolver todos los datos, incluidas las copias existentes;
- poner a disposición la información necesaria y permitir auditorías.
Los puntos cinco y siete son los que necesitas de verdad en el día a día: uno cuando alguien pide acceso, el otro al cambiar de proveedor. Léelos antes de firmar y no el día en que te hagan falta.
Sobre la forma: el contrato debe constar por escrito conforme al art. 28.9, y el formato electrónico se admite expresamente. Puede basarse total o parcialmente en cláusulas contractuales tipo fijadas por la Comisión o por una autoridad de control (apartados 6 a 8), y por eso los contratos de proveedores distintos se parecen tanto entre sí.
Artículos relacionados
4. Lo que el contrato no resuelve
Aquí está el malentendido más frecuente. Un contrato de encargo no hace lícito el tratamiento. Regula exclusivamente la relación entre tú y el proveedor.
La licitud sigue viniendo solo del art. 6.1, y viene de tu lado. Quien reúne direcciones sin base y luego las usa a través de un proveedor con un contrato impecable tiene un contrato limpio sobre un tratamiento ilícito. El contrato no desplaza la responsabilidad: frente a las personas interesadas, la responsabilidad sigue siendo tuya.
Otras tres cosas tampoco las resuelve:
- No sustituye a la información a las personas interesadas. Que emplees un proveedor va en tu información de protección de datos, como destinatario o categoría de destinatarios.
- No sustituye a tu decisión de selección, según el art. 28.1.
- No sustituye a tu propio registro. El art. 30 te lo exige a ti como responsable; el encargado lleva el suyo conforme al apartado 2, y ese no sustituye al tuyo.
Lo que sí resuelve, en cambio: te da un derecho exigible a la colaboración. Si mañana alguien pide acceso y los datos están en casa del proveedor, el deber de asistencia del apartado 3 e) es tu palanca, y no la esperanza de que haya buena voluntad.
5. Subencargados y la pregunta por el lugar
Casi todos los proveedores emplean a su vez a otros: centro de datos, copias de seguridad, vía de envío, herramienta de soporte. El art. 28.2 exige tu autorización previa, específica o general. Con una general, el proveedor tiene que informarte de cualquier cambio previsto para que puedas oponerte.
En la práctica significa: existe una lista, y esa lista cambia. Comprueba una vez dónde está y cómo se anuncian los cambios. Conforme al art. 28.4, a los otros encargados hay que imponerles las mismas obligaciones de protección de datos, y el primer encargado responde ante ti de que las cumplan: la cadena no se rompe.
La segunda pregunta es la del lugar. En cuanto los datos se tratan fuera de la Unión Europea y del Espacio Económico Europeo entran además en juego los arts. 44 y siguientes. Una transferencia necesita entonces base propia: una decisión de adecuación de la Comisión para ese país o garantías adecuadas del art. 46, en la práctica casi siempre cláusulas contractuales tipo.
Para ti eso no es un examen jurídico, sino una pregunta al proveedor, y dice así: ¿dónde están los datos y quién puede acceder a ellos desde dónde? También un acceso de soporte desde un tercer país es una transferencia. La respuesta va a tu documentación: es, además, uno de los datos que el art. 30.1 pide para el registro.
Repasa una vez las facturas de un año y marca cada proveedor que entre en contacto con datos de clientes. Para cada uno vale una de dos respuestas: responsable propio —y entonces necesitas una base para la comunicación— o encargado del tratamiento, y entonces necesitas el contrato. Esa lista se termina en una hora y casi siempre destapa dos o tres posiciones en las que nadie había pensado. Qué pasa con los datos al terminar el contrato pertenece a la política de supresión; qué datos pueden salir siquiera lo aclara Qué datos de clientes puedes guardar.
Datos de clientes en un sitio, no en cuatro listas
Con todo en un sistema, atender una solicitud lleva minutos y se borra lo que debe borrarse. Alojado en Alemania.
