El contrato de encargo del tratamiento y los subencargados
Módulo 9: Personas y normas · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá leer un contrato de encargo del tratamiento y comprobar que cumple los puntos que exige el RGPD, además de evaluar una lista de subencargados.
Conceptos clave: contrato de encargo del tratamiento (art. 28.3 RGPD), instrucciones por escrito, confidencialidad, medidas de seguridad, subencargado, autorización general o específica, derecho de oposición, asistencia, devolución o supresión, auditoría, transferencia fuera del EEE, plazo de notificación de brechas de datos, cláusulas contractuales tipo para encargados
¿Por qué un contrato de encargo del tratamiento?
En la lección 1.2 vio los roles: Bakkerij De Korrel es responsable del tratamiento y el servicio de nube es encargado del tratamiento. El artículo 28.3 del RGPD exige que el tratamiento por parte de un encargado se regule mediante un contrato (u otro acto jurídico) formalizado por escrito. También puede ser electrónico. Es lo que se conoce como contrato de encargo del tratamiento; en inglés Data Processing Agreement (DPA) o Data Processing Addendum.
Con los grandes servicios de nube no suele firmarse un documento aparte: el contrato de encargo forma parte de las condiciones que usted acepta, o marca una casilla en el panel de administración. Con proveedores más pequeños a veces se descarga un documento, se rellenan sus datos y se firma. En cualquier caso, como responsable del tratamiento usted debe poder demostrar que existe un contrato de encargo y cuál es su contenido.
Esto es una explicación, no asesoramiento jurídico. Si tiene dudas sobre sus propios contratos, consulte a un jurista o a su delegado de protección de datos.
Qué debe contener según el RGPD
El artículo 28.3 enumera primero los aspectos que debe describir el contrato: el objeto y la duración del tratamiento, la naturaleza y la finalidad, el tipo de datos personales, las categorías de interesados, y los derechos y obligaciones del responsable. A continuación figuran ocho obligaciones del encargado (letras a a h). A continuación, en lenguaje sencillo, con la pregunta que usted debe hacerse al leerlo:
| Art. 28.3 | Qué debe hacer el encargado | Su pregunta de control |
|---|---|---|
| a | Tratar los datos únicamente siguiendo sus instrucciones por escrito, también en lo relativo a transferencias fuera del EEE | ¿Se indica que el proveedor no utiliza los datos para fines propios? |
| b | Garantizar que el personal esté sujeto a confidencialidad | ¿Existe una obligación de confidencialidad para el personal? |
| c | Adoptar medidas de seguridad adecuadas (art. 32) | ¿Se describen las medidas, o se remite a un documento actualizado? |
| d | Recurrir a subencargados solo con su autorización, y con las mismas obligaciones | ¿Hay una lista y puede usted oponerse? |
| e | Ayudar ante solicitudes de los interesados (acceso, supresión) | ¿Puede el proveedor localizar y eliminar los datos de una persona concreta? |
| f | Ayudar en materia de seguridad, brechas de datos y evaluaciones de impacto (arts. 32 a 36) | ¿Con qué rapidez notifica el proveedor una brecha de datos? |
| g | Al finalizar el servicio, devolver o suprimir todos los datos, a elección de usted | ¿Cuánto tiempo después de darse de baja puede recuperar sus datos, y cuándo se eliminan? |
| h | Facilitar información y permitir auditorías | ¿Existen informes de auditoría o certificaciones, y puede usted solicitar una auditoría? |
La Comisión Europea también ha publicado cláusulas contractuales tipo para encargados del tratamiento (Decisión de Ejecución (UE) 2021/915). Puede utilizarlas como contrato de encargo; contienen todos los puntos obligatorios. Muchos proveedores más pequeños utilizan un modelo propio, en Países Bajos a menudo basado en el modelo de organizaciones sectoriales.
Subencargados: ¿quién hay detrás de su proveedor?
Su servicio de nube no lo hace todo él mismo. Un subencargado es una parte a la que recurre el encargado del tratamiento y que puede acceder a sus datos, por ejemplo:
- el centro de datos (si no es del propio proveedor);
- un proveedor de almacenamiento de copias de seguridad;
- una empresa que filtra el correo contra spam o virus;
- una empresa de soporte o un desarrollador que accede en remoto;
- un servicio de IA si el proveedor ofrece una función de IA.
El artículo 28.2 establece: un encargado del tratamiento no recurrirá a otro encargado sin la autorización previa, específica o general, por escrito del responsable. En caso de autorización general, el encargado debe informarle de cualquier subencargado nuevo o sustituido, de modo que usted pueda oponerse. En la práctica funciona así: el proveedor publica una lista, notifica los cambios (por correo o en una página que usted puede seguir) y usted dispone de un plazo para oponerse. Si presenta una objeción y no se llega a una solución, a menudo puede darse de baja.
Según el apartado 4, el subencargado debe asumir las mismas obligaciones, y el encargado sigue siendo plenamente responsable frente a usted.
A qué prestar especial atención al cambiar a un servicio europeo
Al cambiar a un servicio europeo, en la lista de subencargados conviene fijarse sobre todo en dos cosas:
- ¿Dónde están ubicados los subencargados? Un proveedor europeo que haga filtrar su correo por un servicio estadounidense, o que almacene sus copias de seguridad en una nube estadounidense, sigue sometiendo sus datos a la CLOUD Act (lección 1.3). Fíjese en el país y en la empresa matriz de cada subencargado.
- ¿Qué hacen? Un registro de dominios que solo conoce su nombre y dirección como titular del dominio es algo distinto de una parte que almacena sus buzones de correo.
Lea también el artículo sobre transferencias. Un buen contrato de encargo europeo indica que los datos se tratan dentro de la UE o el EEE, y que las transferencias fuera de ese ámbito solo pueden producirse con su autorización previa. Si pone «podemos tratar los datos en todo el mundo con garantías adecuadas», sabrá que las transferencias son posibles.
Señales de alerta
- No hay contrato de encargo disponible para un servicio de uso profesional: mala señal.
- Una lista desactualizada de subencargados que no coincide con lo que el proveedor indica en otros sitios (por ejemplo, un centro de datos distinto): pida aclaraciones.
- Un plazo de notificación de brechas de datos tan largo que le impide cumplir su propio plazo de 72 horas (art. 33). Muchos contratos de encargo indican 24 o 48 horas.
- Responsabilidad totalmente excluida. Es habitual hasta cierto punto, pero dice algo sobre la confianza del proveedor en sí mismo.
- Sin regulación para el final de la relación: ¿qué ocurre con sus datos tras la baja, y recibe una confirmación de supresión?
¿Quién lo firma y dónde se conserva?
En De Korrel, Sanne firma como propietaria. Conserva el contrato de encargo junto con el registro de actividades de tratamiento (lección 9.3), con la fecha y la versión. Si el proveedor modifica el contrato de encargo o los subencargados, también conserva esa notificación. Ante una inspección de la autoridad de control, o ante la pregunta de un cliente («¿cómo tratan mis datos?»), puede mostrarlo sin dificultad.
En la práctica: así se presenta en un proveedor
WebOké dispone de un contrato de encargo del tratamiento estándar con un anexo de terceros subcontratados, en el que se indica que el tratamiento se realiza dentro de la UE y que las transferencias fuera de ella solo pueden producirse con autorización por escrito. En las preguntas frecuentes del manual de Nextcloud se explica cuándo lo necesita. En otros proveedores, el documento suele llamarse «Data Processing Agreement» y la lista de subencargados figura en una página aparte («Subprocessors»). Compare esa lista con lo que el proveedor indica en su web sobre centros de datos y soporte.
Resumen
- El artículo 28.3 RGPD exige un contrato de encargo del tratamiento por escrito con unos contenidos fijos y ocho obligaciones del encargado.
- Compruebe sobre todo: que no haya fines propios, la seguridad, los subencargados, la ayuda ante brechas de datos, la devolución o supresión al finalizar y las auditorías.
- Los subencargados solo con su autorización; con autorización general, debe recibir las notificaciones de cambios y poder oponerse.
- Al cambiar a un servicio europeo, fíjese en el país y la empresa matriz de cada parte de la lista de subencargados.
- Conserve el contrato de encargo y las notificaciones de cambios junto con su registro de actividades de tratamiento.
Cuestionario
Ejercicio
Ejercicio E9.2: Revise un contrato de encargo del tratamiento. Tome el contrato de encargo del tratamiento de su servicio de nube actual o nuevo. Repase los ocho puntos, de la a a la h, y anote para cada uno: si figura (sí, no, no está claro) y dónde. Evalúe la lista de subencargados: anote, para cada subencargado, el país, la empresa matriz y qué hace.
Ejercicio E9.2: Revise un contrato de encargo del tratamiento
Tome el contrato de encargo del tratamiento de su proveedor actual o nuevo y repase los puntos tratados en la lección.
Un plazo de notificación superior a 72 horas dificulta cumplir con su propia obligación de notificación (art. 33 RGPD).
Un servicio en la nube sin ningún subencargado es poco habitual: solicite la lista si no figura en el documento.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de estos artículos se aplican a los servicios de WebOké; en otros proveedores funciona de forma parecida.
- Manual de Nextcloud 15.13: Preguntas frecuentes sobre seguridad y privacidad
- Manual de Nextcloud 14.8: Asistente de IA en su Nextcloud
- Reglamento (UE) 2016/679 (RGPD), artículo 28, en EUR-Lex
- Decisión de Ejecución (UE) 2021/915 (cláusulas contractuales tipo entre responsables y encargados del tratamiento), en EUR-Lex
- Agencia Española de Protección de Datos (AEPD), sobre el «Contrato de encargo del tratamiento»: https://www.autoriteitpersoonsgegevens.nl (página de la autoridad neerlandesa de protección de datos, citada aquí como referencia; consulte también la AEPD para la normativa aplicable en España)