El incumplimiento en materia de protección de datos no comienza, habitualmente, con una brecha espectacular. Comienza con un contrato que nunca se firmó, o que se firmó mal. Cuando la Agencia Española de Protección de Datos (AEPD) abre una investigación, uno de los primeros documentos que solicita es precisamente el contrato de encargado de tratamiento suscrito con cada proveedor que accede a datos personales de la empresa. Si ese documento no existe o resulta insuficiente, la exposición sancionadora es inmediata y difícil de mitigar.
En la arquitectura del RGPD, toda empresa que externaliza una actividad en la que un tercero accede a datos personales está obligada a instrumentar esa relación mediante un contrato de encargado de tratamiento. No se trata de una recomendación de buenas prácticas. Es una exigencia imperativa que la normativa de protección de datos impone tanto al responsable del tratamiento como al encargado.
El encargado es cualquier persona física o jurídica que trate datos personales por cuenta del responsable. En la práctica empresarial, esta figura aparece con una frecuencia mucho mayor de la que muchos directivos perciben. El proveedor de servicios en la nube que aloja los servidores de la empresa, la consultora de recursos humanos que gestiona las nóminas, la agencia de marketing que accede a la base de datos de clientes, el prestador de servicios de mantenimiento informático o la empresa de gestión documental: todos son encargados del tratamiento si, en el ejercicio de sus funciones, tienen acceso a datos personales cuyo tratamiento ha encomendado la empresa.
El error más extendido que observamos en nuestra práctica es precisamente este: la dirección confunde la firma de un acuerdo de confidencialidad (NDA, non-disclosure agreement) con el cumplimiento de la obligación de contratar al encargado. Un NDA protege la información confidencial, pero no formaliza la relación de tratamiento de datos ni asigna responsabilidades conforme a la normativa de protección de datos. Son instrumentos distintos con funciones distintas.
La AEPD ha sancionado a empresas de todos los tamaños por ausencia o insuficiencia de este contrato. No es un riesgo teórico.
La normativa de protección de datos establece un contenido mínimo obligatorio que el contrato debe recoger con precisión. Omitir cualquiera de estos elementos convierte el documento en insuficiente a efectos de cumplimiento, con independencia de su extensión o su apariencia formal.
Las cláusulas que ningún contrato de encargado puede obviar son las siguientes:
En nuestra experiencia asesorando a empresas en España, los contratos de encargado que llegan a nuestra revisión con más frecuencia adolecen de dos carencias: la regulación insuficiente del régimen de subencargados y la ausencia de un procedimiento concreto de notificación de brechas con plazos internos definidos.
La redacción del contrato no es el primer paso del proceso. Antes de redactar una sola cláusula, la empresa debe completar tres fases previas que condicionan el contenido del documento.
El punto de partida es el registro de actividades de tratamiento. Este documento – que la normativa de protección de datos exige a la mayoría de las empresas – debe incluir una columna específica para los encargados del tratamiento vinculados a cada actividad. Sin este mapa previo, es imposible saber con cuántos encargados debe formalizarse un contrato.
Un error frecuente en el proceso de adaptación al RGPD consiste en tratar el registro de actividades como un formulario burocrático en lugar de como la herramienta de gestión de riesgos que es. El registro obliga a la dirección a preguntarse, por cada tratamiento: ¿quién más tiene acceso a estos datos? La respuesta suele revelar un número de encargados considerablemente mayor al que la empresa inicialmente estimaba.
No todos los encargados presentan el mismo perfil de riesgo. Un proveedor de servicios en la nube que aloja una base de datos de clientes no es comparable, desde el punto de vista de la protección de datos, a una empresa que imprime facturas. El contrato de encargado debe adaptarse al riesgo real del tratamiento.
Los criterios de clasificación incluyen: el volumen de datos tratados, la categoría de los datos (especialmente relevante si se trata de datos sensibles como los de salud o los de menores), la naturaleza del acceso (continuado o puntual), la ubicación geográfica del encargado y la solidez de las medidas de seguridad que puede acreditar.
Redactado el borrador, comienza la fase de negociación. Los grandes proveedores tecnológicos – plataformas de servicios en la nube, herramientas de gestión empresarial, plataformas de correo electrónico corporativo – suelen imponer sus propios modelos de contrato de encargado, generalmente denominados Data Processing Agreements (DPA). La empresa, como responsable del tratamiento, tiene la obligación de verificar que esos modelos cumplen con las exigencias del RGPD y de la LOPDGDD. El hecho de que el proveedor ofrezca un modelo estándar no exime al responsable de comprobar su adecuación.
Con proveedores nacionales de menor tamaño, la empresa responsable del tratamiento suele ser quien propone el modelo. En estos casos, disponer de una plantilla base jurídicamente sólida – adaptada al tipo de actividad y al nivel de riesgo – reduce significativamente el tiempo y el coste del proceso.
Cuando el encargado del tratamiento opera fuera del Espacio Económico Europeo, la complejidad del contrato se incrementa de manera notable. La normativa de protección de datos exige que cualquier transferencia internacional de datos cuente con una garantía adecuada. Las cláusulas contractuales tipo adoptadas por la Comisión Europea son el mecanismo más habitual para articular esta garantía.
Estas cláusulas no son negociables en su contenido – deben usarse en la versión oficial adoptada por la Comisión – aunque pueden incorporarse como anexo al contrato de encargado. Su inclusión debe ir acompañada de una evaluación de impacto de la transferencia (Transfer Impact Assessment, TIA) que analice si el encargado puede efectivamente cumplir con las garantías prometidas en la jurisdicción donde opera.
En la práctica, muchas empresas españolas utilizan herramientas o plataformas de origen estadounidense, israelí o de otros países sin haber verificado si existe un mecanismo de transferencia válido. Esta situación genera una exposición regulatoria inmediata. La AEPD ha actuado en materia de transferencias internacionales con criterio riguroso, y los encargados establecidos fuera de la UE que carecen de garantías adecuadas representan uno de los focos de riesgo más activos en materia de compliance empresa.
Si quiere profundizar en cómo afecta la normativa de protección de datos a sectores con alta intensidad de datos, puede consultar nuestro análisis sobre el RGPD en el sector industrial y manufacturero.
La cláusula sobre medidas de seguridad es, con frecuencia, la más débil de los contratos que revisamos. La práctica habitual consiste en incluir una referencia genérica a que el encargado "aplicará las medidas técnicas y organizativas apropiadas". Esta redacción es insuficiente.
El responsable del tratamiento debe exigir al encargado que detalle, al menos en un anexo técnico, las medidas concretas que aplica. Estas medidas deben guardar proporción con el nivel de riesgo del tratamiento e incluir, como mínimo:
La verificación de estas medidas no puede quedar en la mera declaración contractual. El contrato debe reconocer el derecho del responsable a auditar al encargado o a requerir la presentación de certificaciones de terceros (ISO 27001, ENS o equivalentes). En la práctica, la auditoría directa es costosa y no siempre viable; las certificaciones de terceros constituyen una alternativa razonable que los contratos deben contemplar.
Hemos observado que, cuando una empresa no exige estas garantías contractualmente, le resulta muy difícil demostrar ante la AEPD que ejerció la diligencia debida (due diligence) en la selección del encargado. La responsabilidad del responsable no desaparece por el mero hecho de externalizar el tratamiento.
El RGPD establece un régimen de responsabilidad que puede alcanzar al encargado directamente. Si el encargado trata los datos con finalidades distintas a las instrucciones del responsable, o incumple sus obligaciones específicas, puede ser considerado responsable del tratamiento a todos los efectos y, en consecuencia, ser sancionado de forma autónoma por la AEPD.
Para el responsable, el incumplimiento del encargado no extingue automáticamente su propia responsabilidad. La clave está en si el responsable eligió al encargado con la diligencia debida y si exigió contractualmente las garantías necesarias. Si el contrato de encargado era inexistente o claramente deficiente, la AEPD puede sancionar al responsable con independencia de quién cometió el incidente técnico.
Este es el argumento más poderoso para abordar la redacción del contrato de encargado como una inversión en gestión de riesgos. El coste de redactar y revisar un contrato sólido es siempre inferior – a veces de forma muy significativa – al de gestionar una investigación de la AEPD, un procedimiento sancionador o el daño reputacional derivado de una brecha de seguridad que podría haberse contenido con protocolos adecuados.
La creencia de que una cláusula de privacidad en la web o un aviso de cookies equivale al cumplimiento del RGPD es uno de los mitos más arraigados y más costosos que encontramos en empresas que llegan a nuestra consulta. El cumplimiento real exige instrumentos internos: registro de tratamientos, contratos de encargado, protocolo de brechas y, cuando el tratamiento lo requiere, análisis de impacto de protección de datos (AIPD). Sin estos elementos, ninguna empresa puede afirmar que está adaptada al RGPD de forma genuina.
El contrato de encargado de tratamiento no es un documento aislado. Forma parte de un ecosistema más amplio de cumplimiento normativo que, en una empresa bien estructurada, incluye el programa de compliance penal, el canal de denuncias, las políticas internas de protección de datos y los procedimientos de gestión de incidentes.
La conexión con el compliance penal es especialmente relevante. Algunas de las conductas tipificadas como delito en el ámbito de la protección de datos – el acceso no autorizado a datos personales, la revelación de información sensible, la omisión de medidas de seguridad que cause perjuicio – pueden verse agravadas o mitigadas en función de si la empresa contaba con un programa de cumplimiento eficaz. El contrato de encargado bien redactado forma parte de ese programa.
El canal de denuncias, por su parte, presenta una dimensión específica en relación con los datos personales. El sistema de recepción y gestión de denuncias internas implica, por definición, el tratamiento de datos personales sensibles – potencialmente identificativos del denunciante y del denunciado – y, en muchos casos, se gestiona a través de un proveedor externo. Ese proveedor es un encargado del tratamiento, y la relación debe estar formalizada conforme a los requisitos del RGPD.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la formalización rigurosa de las relaciones con encargados ha resultado ser uno de los elementos de mayor impacto en la reducción del riesgo regulatorio. El contrato de encargado no es el fin del programa de cumplimiento, pero sí uno de sus pilares más visibles ante cualquier inspección.
Para conocer en detalle el alcance de nuestro servicio en esta materia, puede consultar la página de nuestra práctica de Protección de Datos y Compliance.
Un contrato de encargado no es un documento que se firma y archiva indefinidamente. Las relaciones con los encargados evolucionan: el proveedor puede cambiar su infraestructura tecnológica, incorporar subencargados nuevos, modificar sus políticas de seguridad o trasladar sus servidores a una jurisdicción diferente. Cualquiera de estos cambios puede afectar a la validez del contrato y a las garantías que ofrece.
La gestión documental de los contratos de encargado debe integrarse en el registro de actividades de tratamiento y someterse a un ciclo de revisión periódica. En nuestra práctica recomendamos un ciclo mínimo anual, con revisiones extraordinarias ante cambios significativos en la relación o en el marco normativo.
El seguimiento de las actualizaciones regulatorias es igualmente necesario. La Comisión Europea y la AEPD publican orientaciones, criterios interpretativos y resoluciones de procedimientos sancionadores que enriquecen y en ocasiones modifican el estándar de cumplimiento exigible. Un programa de adaptación al RGPD que no incorpora la actualización continua pierde vigencia con el tiempo y puede dejar a la empresa expuesta sin que la dirección sea consciente de ello.
La gestión de los contratos con encargados guarda también una estrecha relación con la prevención de blanqueo de capitales en aquellos sectores en los que esta normativa es de aplicación. Si su empresa opera en uno de estos sectores, le invitamos a revisar nuestra guía sobre prevención de blanqueo de capitales, donde abordamos los puntos de intersección entre ambos marcos de cumplimiento.
A modo de resumen operativo, estos son los elementos que la empresa debe verificar antes de suscribir cualquier contrato de encargado de tratamiento:
¿Evalúa la solidez de sus contratos con proveedores? Le ayudamos a comparar la situación actual de su empresa con el estándar que exige la normativa vigente: info@velardevidal.com.
La formalización de los contratos de encargado se integra frecuentemente con otros servicios de nuestra práctica. La implantación de un programa de compliance empresa de alcance completo – que incluya el registro de actividades, el análisis de riesgos, los protocolos de brechas y la formación del equipo directivo – es el contexto natural en el que estos contratos cobran su máximo valor preventivo. Del mismo modo, cuando la empresa opera en sectores regulados o gestiona datos de especial sensibilidad, el análisis de impacto de protección de datos y la implantación de un canal de denuncias conforme a la normativa vigente son actuaciones complementarias que abordamos de forma integrada.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.