Contrato de encargado del tratamiento: cuándo lo necesitas

Casi ninguna empresa trabaja sola. La gestoría hace las nóminas, el informático entra en los ordenadores, el programa de facturación está en la nube y una empresa de seguridad gestiona las cámaras. Todos ellos acceden a datos personales de los que tú eres responsable. Y para eso, el RGPD exige algo muy concreto: un contrato de encargado del tratamiento.

Responsable y encargado: la diferencia

El responsable es quien decide para qué y cómo se tratan los datos: tu empresa, respecto de sus clientes y empleados. El encargado es quien trata esos datos por cuenta del responsable (artículo 4.8 del RGPD). No decide para qué se usan; presta un servicio y sigue tus instrucciones.

La pregunta práctica es sencilla: ¿este proveedor accede a datos personales de mi empresa para prestarme su servicio? Si la respuesta es sí y no los usa para sus propios fines, casi seguro es un encargado.

Ejemplos habituales de encargados

• Gestoría o asesoría que lleva nóminas, seguros sociales o contabilidad con datos de tus empleados y clientes.
• Servicio informático que mantiene tus equipos y puede ver lo que hay en ellos.
• Software en la nube: facturación, CRM, programa de gestión, agenda de citas, nóminas.
• Hosting y correo electrónico de tu web y tu dominio.
• Empresa de seguridad que gestiona las cámaras o la alarma con acceso a imágenes.
• Plataformas de envío de correos o SMS que usan tu lista de contactos.
• Empresas de destrucción de documentos, centros de atención telefónica o servicios de registro horario.

Quién normalmente no es encargado

Hay terceros que reciben datos, pero no como encargados, porque los tratan para sus propios fines o por obligación legal:

• La Agencia Tributaria, la Seguridad Social u otras administraciones a las que comunicas datos por ley.
• El banco cuando gestiona sus propios servicios financieros.
• Los profesionales que actúan con criterio propio sobre los datos, como suele ocurrir con un abogado que te defiende en un juicio. En estos casos conviene revisar la relación concreta.

Si tienes dudas con un proveedor, es mejor revisarlo que suponerlo: el papel de cada uno depende de lo que hace realmente, no de cómo se llame el contrato.

Qué debe incluir el contrato

«El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable» (artículo 28.3 del RGPD).

Ese mismo artículo fija el contenido mínimo. El contrato debe establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados, y las obligaciones y derechos del responsable. Y el encargado debe comprometerse, entre otras cosas, a:

1. Tratar los datos solo siguiendo tus instrucciones documentadas.
2. Garantizar la confidencialidad de las personas que acceden a ellos.
3. Aplicar medidas de seguridad adecuadas (artículo 32).
4. No recurrir a otro proveedor (subencargado) sin tu autorización previa, específica o general, y trasladarle las mismas obligaciones.
5. Ayudarte a atender los derechos de las personas y a cumplir con la seguridad, las brechas y las evaluaciones de impacto.
6. Devolver o suprimir los datos al terminar el servicio, salvo que una ley obligue a conservarlos.
7. Poner a tu disposición la información necesaria para demostrar el cumplimiento y permitir auditorías.

El contrato debe constar por escrito, y el RGPD admite expresamente el formato electrónico (artículo 28.9). Por eso es válido el acuerdo de tratamiento que muchos proveedores de software incluyen en sus condiciones y que se acepta en línea.

Los subencargados

Tu proveedor de software, a su vez, usa un hosting; tu gestoría usa un programa de nóminas en la nube. Son subencargados. No necesitas firmar con cada uno, pero sí que tu encargado tenga tu autorización para usarlos, te informe de los cambios y les imponga las mismas obligaciones. Si alguno trata datos fuera del Espacio Económico Europeo, debe haber garantías para esa transferencia.

Y cuando la relación termina

Al acabar el servicio, el encargado debe devolverte los datos o destruirlos, según hayáis pactado. La LOPDGDD prevé que el encargado conserve los datos debidamente bloqueados mientras puedan derivarse responsabilidades de su relación contigo (artículo 33.4). Pide siempre un certificado o confirmación de lo que ha hecho.

¿Qué pasa si no lo tengo?

No tener contrato con un encargado es uno de los incumplimientos más fáciles de detectar en una inspección: basta con preguntar quién te lleva las nóminas y pedir el contrato. Y es también de los más fáciles de evitar. Además, si el proveedor sufre una brecha, el contrato es lo que demuestra que exigiste garantías y que tenía que avisarte sin dilación (artículo 33.2 del RGPD).

Cómo ponerlo al día en una tarde

1. Haz una lista de todos tus proveedores.
2. Marca los que acceden a datos personales.
3. Busca si ya tienen un acuerdo de tratamiento publicado (muchos programas lo tienen en sus condiciones) y guárdalo.
4. Para el resto, firma un contrato de encargado.
5. Recoge en tu registro de actividades quién es encargado de qué.

Si eres tú quien presta servicios a otras empresas, como una asesoría o gestoría o una empresa tecnológica, eres encargado de tus clientes y te conviene tener tu propio modelo de contrato. Dentro de nuestro servicio de protección de datos preparamos los contratos y revisamos los acuerdos de tus proveedores.