La relación entre un responsable del tratamiento y sus proveedores o prestadores de servicios que acceden a datos personales no es una cuestión burocrática menor. Es, en el estado actual de la supervisión española, uno de los focos de inspección más activos de la Agencia Española de Protección de Datos (AEPD). Cuando esa relación no está correctamente formalizada mediante un contrato de encargado de tratamiento, la empresa no solo asume un riesgo regulatorio: asume también la responsabilidad del prestador.
El RGPD y la LOPDGDD establecen con claridad que todo tratamiento de datos personales realizado por cuenta de otro exige un contrato escrito. No es una recomendación. Es una obligación cuyo incumplimiento puede dar lugar a un procedimiento sancionador ante la AEPD.
¿Qué operaciones cotidianas de una empresa quedan afectadas? La respuesta es más amplia de lo que habitualmente se anticipa. El proveedor de nóminas, la plataforma de gestión de clientes, el servicio de almacenamiento en la nube, la empresa que gestiona el sistema de videovigilancia, el despacho externo que accede a expedientes de trabajadores o la consultora de recursos humanos que analiza datos de candidatos: todos son encargados del tratamiento. Todos requieren ese contrato.
El contrato no puede ser genérico. La normativa exige que contemple, como mínimo, el objeto y la duración del tratamiento, la naturaleza y la finalidad del mismo, el tipo de datos personales y las categorías de interesados afectados, y las obligaciones y derechos del responsable. Debe incluir además instrucciones expresas sobre la subcontratación, el deber de confidencialidad, las medidas de seguridad aplicables, el régimen de asistencia al responsable ante el ejercicio de derechos por los interesados, y las condiciones de destrucción o devolución de los datos al terminar la relación.
En nuestra práctica asesorando a empresas en España, observamos con frecuencia que las organizaciones confunden la existencia de un contrato de servicios genérico con el cumplimiento de esta exigencia. Un contrato mercantil de prestación de servicios que incluye una cláusula de confidencialidad no equivale a un contrato de encargado de tratamiento. La AEPD lo ha puesto de manifiesto en múltiples resoluciones: la ausencia o insuficiencia de este instrumento es un incumplimiento autónomo, independiente de que se haya producido o no una brecha de seguridad.
El marco también impone obligaciones en la cadena. El encargado no puede subcontratar el tratamiento sin autorización expresa del responsable. Cuando lo hace, el subencargado queda vinculado por las mismas condiciones que el encargado principal. La dirección de una empresa que usa proveedores que a su vez subcontratan debe saber que tiene que haber dado ese consentimiento de forma documentada y que la cadena de contratos debe ser trazable.
La obligación nace en el mismo momento en que se inicia la relación de servicio en la que el proveedor va a acceder, tratar, almacenar o simplemente visualizar datos personales de los que la empresa es responsable. No existe un período de gracia ni una excepción por razón de tamaño empresarial.
Esto tiene consecuencias prácticas inmediatas para la gestión contractual de la empresa. El proceso de alta de proveedores debe incorporar, desde el inicio, la identificación de si ese proveedor accederá a datos personales. Si la respuesta es afirmativa, el contrato de encargado de tratamiento debe suscribirse antes o simultáneamente al inicio de la prestación del servicio.
Hemos acompañado a varias empresas tecnológicas y del sector industrial en la revisión de su mapa de proveedores. El resultado habitual es que entre el cuarenta y el sesenta por ciento de los contratos de servicios activos carecen del documento correspondiente o lo tienen en una versión desactualizada que no recoge los requisitos del RGPD. Esa brecha contractual constituye, por sí misma, un riesgo sancionador que la AEPD puede apreciar en una inspección de oficio o derivada de una denuncia.
La normativa de protección de datos no distingue entre contratos nuevos y contratos ya vigentes. Las relaciones preexistentes deben regularizarse. Una empresa que formalice hoy sus contratos pendientes reduce materialmente su exposición a sanciones, aunque el servicio lleve años en marcha.
El responsable jurídico o el director de operaciones que lidera la negociación de estos contratos se enfrenta a decisiones concretas que no pueden delegarse sin criterio. Las más relevantes son las siguientes.
La definición del objeto y las instrucciones del tratamiento. El responsable debe determinar qué hace exactamente el encargado con los datos, bajo qué instrucciones y con qué limitaciones de finalidad. Si esa definición es vaga, el responsable pierde el control jurídico sobre el tratamiento y puede quedar expuesto a que el encargado utilice los datos para fines propios.
El régimen de subcontratación. ¿Puede el encargado subcontratar partes del tratamiento? ¿Con qué condiciones y qué tipo de aprobación previa o general se otorga? Esta decisión tiene implicaciones directas en la trazabilidad de los datos y en la responsabilidad compartida en caso de incidente.
Las medidas de seguridad exigibles. El contrato debe establecer el nivel mínimo de medidas técnicas y organizativas que el encargado debe aplicar. No es suficiente con una referencia genérica al RGPD. La empresa debe valorar qué datos trata el encargado, cuál es el riesgo asociado y qué controles son proporcionales. Un proveedor que accede a datos de salud de empleados necesita garantías distintas a las de un proveedor de software de facturación.
El protocolo ante una brecha de seguridad. La normativa vigente exige que el encargado notifique la brecha al responsable sin dilación indebida desde que tenga conocimiento de ella. El contrato debe establecer el canal, el plazo interno y el contenido mínimo de esa notificación, de modo que el responsable pueda cumplir con su obligación de notificar a la AEPD en un plazo máximo de setenta y dos horas desde que tenga conocimiento. Si el encargado no informa a tiempo, el responsable incumple también.
El destino de los datos al término del contrato. ¿Los datos se devuelven o se destruyen? ¿En qué plazo? ¿Cómo se acredita? Estas preguntas deben estar respondidas contractualmente antes de que surja la necesidad.
En nuestra experiencia, los errores más costosos no se producen durante la ejecución del contrato. Se producen en el momento de terminar la relación con un proveedor, cuando la empresa descubre que no existe un procedimiento claro para recuperar o destruir los datos personales confiados al encargado saliente.
El riesgo más visible es el sancionador. La AEPD puede iniciar actuaciones de investigación de oficio o en respuesta a una denuncia. La ausencia de contratos de encargado de tratamiento es un incumplimiento constatable de forma documental, sin necesidad de que se haya producido un perjuicio efectivo a ningún interesado.
Pero el riesgo no se limita a la relación con la autoridad de control. Un contrato de encargado de tratamiento bien redactado es también el instrumento que protege a la empresa en caso de litigio con el propio proveedor. Si el encargado sufre una brecha que afecta a datos del responsable, la distribución de responsabilidades entre ambas partes depende en gran medida de lo que el contrato establezca. Sin ese contrato, la posición de la empresa en un eventual procedimiento de reclamación queda debilitada.
El mito más extendido en el mercado es que una cláusula de privacidad en la web o un aviso legal bien redactado equivalen al cumplimiento del RGPD. No es así. La AEPD distingue con precisión entre las obligaciones frente a los interesados (que sí se canalizan en parte a través de la política de privacidad) y las obligaciones en la cadena de tratamiento (que exigen contratos con los encargados, un registro de actividades de tratamiento actualizado y un protocolo operativo ante brechas). Son capas distintas del sistema de cumplimiento.
Una empresa que trata datos y opera sin un programa de cumplimiento estructurado no solo acumula riesgos regulatorios. También se expone a una brecha sin protocolo: sin saber a quién notificar, en qué plazo y con qué información. Ese escenario, que hemos visto en sectores tan distintos como la industria, la tecnología y la sanidad privada, es precisamente el que un sistema de contratos bien construido está diseñado para evitar.
El compliance penal añade una dimensión adicional. Cuando una empresa cuenta con un programa de compliance debidamente documentado, ese programa puede ser relevante para acreditar la diligencia de la organización ante un procedimiento judicial. Los contratos de encargado de tratamiento son un componente de ese programa en cualquier empresa que trate datos personales de forma habitual.
La adaptación al RGPD no es un proyecto que se acomete una vez y se archiva. Es un sistema vivo que requiere actualización cuando cambia el mapa de proveedores, cuando se lanza un nuevo producto o servicio, cuando se produce una reestructuración societaria o cuando la empresa empieza a operar en un nuevo mercado. El asesoramiento externo especializado actúa como un mecanismo de control continuo que evita que las brechas de cumplimiento se acumulen hasta convertirse en un problema de dimensión sancionadora.
¿Cuánto cuesta regularizar una situación de incumplimiento cuando ya existe una inspección abierta? La respuesta es invariablemente: más que haberlo hecho antes. Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la inversión preventiva ha resultado considerablemente inferior al coste de gestionar un procedimiento sancionador o un incidente de seguridad sin preparación previa.
El proceso habitual de implantación parte de una auditoría del mapa de tratamientos y de los contratos con proveedores vigentes. A partir de ese diagnóstico, se identifican las relaciones que requieren un contrato de encargado de tratamiento, se elaboran los modelos contractuales adaptados a cada tipo de encargado y se establece el procedimiento interno para la gestión de nuevos proveedores. Paralelamente, se actualiza o crea el registro de actividades de tratamiento, se define el protocolo de respuesta ante brechas y se documentan las medidas de seguridad exigibles por categoría de datos.
El canal de denuncias es otro elemento que hemos visto incorporar con creciente frecuencia en empresas medianas como parte del sistema de compliance integrado. Su correcta configuración requiere, entre otras cosas, que el proveedor que gestiona la plataforma del canal esté a su vez vinculado por un contrato de encargado de tratamiento que recoja las particularidades del tratamiento de datos de denunciantes, cuya protección está regulada de forma específica por la normativa vigente.
La empresa que cuenta con un programa de compliance y protección de datos documentado, que incluye sus contratos de encargado de tratamiento actualizados, está en condiciones de demostrar ante la AEPD, ante sus clientes y ante sus socios comerciales que trata los datos con la diligencia que la normativa exige. Esa posición no solo reduce el riesgo regulatorio: también refuerza la posición negociadora de la empresa en operaciones de inversión, fusión o adquisición en las que el estado del cumplimiento normativo es objeto de diligencia debida (due diligence).
La práctica de nuestra firma indica que las empresas que afrontan una operación corporativa sin tener ordenado su programa de protección de datos se enfrentan a una penalización en la valoración o a condiciones adicionales en el contrato de compraventa. Un encargo que tarda semanas en resolverse de forma preventiva puede convertirse, en el contexto de una operación, en un coste muy superior.
Cuando el encargado del tratamiento se encuentra fuera de la Unión Europea, la relación contractual requiere un instrumento adicional: la garantía de que la transferencia internacional de datos es lícita conforme al RGPD. Las cláusulas contractuales tipo aprobadas por la Comisión Europea constituyen el mecanismo más extendido en la práctica empresarial española para canalizar estas transferencias.
Esto tiene una implicación directa para la empresa: el contrato de encargado de tratamiento con un proveedor establecido en un tercer país no equivale por sí solo al cumplimiento. Debe incorporar o ir acompañado de las cláusulas contractuales tipo correspondientes, correctamente ejecutadas y adaptadas a la tipología de la transferencia. Un proveedor de servicios en la nube establecido fuera de la Unión Europea, aunque esté sometido al RGPD por razón de su actividad dirigida al mercado europeo, exige este tratamiento adicional.
En las operaciones con proveedores en Latinoamérica, Asia o Estados Unidos, la elección del mecanismo de transferencia y su correcta documentación es un elemento crítico que hemos visto pasar inadvertido en muchas empresas. La AEPD ha sancionado transferencias internacionales realizadas sin el instrumento adecuado, aunque el proveedor fuera técnicamente reconocible en el sector.
Cuando las circunstancias lo requieren, coordinamos con abogados locales de confianza en la jurisdicción correspondiente para garantizar que la articulación contractual sea coherente tanto desde el punto de vista del Derecho español como desde el marco del país del encargado.
A modo de referencia operativa para la dirección y el equipo jurídico interno, los elementos mínimos que debe contener un programa de cumplimiento en este ámbito son los siguientes:
Este checklist no agota el programa de cumplimiento, pero identifica los puntos que la AEPD controla con mayor frecuencia en las actuaciones de inspección que hemos conocido en nuestra práctica.
La gestión de contratos de encargado de tratamiento se inscribe en un sistema más amplio de cumplimiento normativo en materia de protección de datos. Si su empresa aún no ha acometido la adaptación integral al RGPD, puede conocer el alcance de ese proceso en nuestra área de protección de datos y compliance.
Para empresas del sector industrial o manufacturero, los retos del cumplimiento normativo en materia de datos presentan especificidades propias que analizamos en profundidad en nuestro estudio sobre la industria y la manufactura ante el RGPD. Si su empresa ha recibido una inspección o desea entender cómo se gestiona la defensa ante una actuación de la AEPD, puede consultar nuestro análisis de defensa ante una inspección de la AEPD.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.