El sector logístico y de transporte en España mueve datos personales a una escala que muchos directivos subestiman. Conductores, destinatarios, clientes corporativos, sistemas de telemetría, plataformas de seguimiento de envíos: cada uno de estos elementos genera un flujo de datos que la normativa de protección de datos regula con exigencias concretas. Cuando una empresa logística o de transporte externaliza parte de ese tratamiento, la legislación obliga a formalizar esa relación mediante un instrumento jurídico específico: el contrato de encargado de tratamiento. Sin él, la empresa responsable del fichero queda expuesta a una responsabilidad que puede materializarse con rapidez.
La logística y el transporte no son un sector que habitualmente aparezca en primer plano cuando se debate sobre protección de datos. Eso es precisamente el problema. Empresas de mensajería, operadores de almacén, plataformas de gestión de flotas y transportistas por carretera tratan datos de personas físicas en cada operación: el nombre y domicilio del destinatario, la geolocalización del conductor, las credenciales del personal de almacén, los registros de tacógrafo digital.
En nuestra práctica hemos observado que muchas empresas logísticas de tamaño medio asumen que el tratamiento de datos que realizan es "técnico" y, por tanto, ajeno al RGPD. Esta creencia es errónea. El RGPD no distingue por sectores: lo que importa es si se tratan datos de personas físicas identificadas o identificables. Y en logística, ese umbral se supera en casi cada operación cotidiana.
La externalización agrava la exposición. Cuando un operador logístico contrata un sistema de gestión de transporte (TMS) en la nube, delega parte del tratamiento a un proveedor que actúa como encargado de tratamiento. Si ese proveedor no está vinculado mediante un contrato adecuado, la responsabilidad recae enteramente sobre el operador. La Agencia Española de Protección de Datos (AEPD) ha sancionado a empresas de este sector por exactamente esta carencia.
¿Qué se trata realmente en una operación logística típica? Datos de clientes (nombre, dirección, teléfono, correo electrónico), datos laborales de conductores y personal de almacén, datos de geolocalización en tiempo real, registros de incidencias y reclamaciones, y en algunos casos datos de salud relacionados con la aptitud profesional para conducir. Cada categoría tiene implicaciones jurídicas diferentes.
La normativa de protección de datos establece una distinción fundamental: el responsable del tratamiento es quien determina los fines y medios del tratamiento. El encargado del tratamiento es quien trata datos por cuenta del responsable, siguiendo sus instrucciones. Cuando una empresa logística cede datos a un proveedor externo para que los trate, ese proveedor es el encargado. La relación entre ambos debe quedar formalizada mediante un contrato o acto jurídico vinculante.
Esta obligación no es facultativa. No depende del volumen de datos ni del tamaño de la empresa. Siempre que exista una relación de encargo de tratamiento, el contrato es obligatorio conforme al RGPD y a la LOPDGDD.
En el sector logístico, los encargos típicos que generan esta obligación contractual incluyen los siguientes: plataformas de gestión de flotas con acceso a datos de geolocalización de conductores; sistemas TMS en la nube que procesan albaranes y datos de clientes; empresas de mensajería subcontratadas que acceden a datos de destinatarios; proveedores de software de almacén (WMS) que almacenan datos de empleados y clientes; y empresas de mantenimiento de vehículos que acceden a registros de tacógrafo digital.
Un error frecuente es confundir al encargado con un proveedor ordinario. Si un abogado externo da un consejo, no es encargado de tratamiento, porque no trata datos por cuenta del cliente. Si una empresa de TI accede a los servidores donde se almacenan los datos de clientes para hacer un mantenimiento, sí lo es. La distinción práctica relevante es el acceso a datos personales en el marco de una prestación de servicios.
El RGPD fija un contenido mínimo obligatorio para este tipo de contratos. No se trata de una cláusula genérica de confidencialidad. Es un instrumento jurídico con estructura propia que debe abordar, como mínimo, los siguientes elementos.
Identificación precisa del objeto y la finalidad. El contrato debe describir qué datos se tratan, con qué finalidad, durante cuánto tiempo y qué categorías de personas afectadas están implicadas. En logística, esto puede incluir datos de destinatarios de paquetes, datos de empleados conductores o datos de clientes corporativos. La imprecisión en este punto es fuente directa de responsabilidad.
Instrucciones del responsable. El encargado solo puede tratar los datos siguiendo las instrucciones documentadas del responsable. Si el encargado trata los datos para fines propios o más allá de lo autorizado, pasa a ser corresponsable. El contrato debe especificar qué está permitido y qué queda prohibido.
Obligaciones de confidencialidad. Todas las personas que accedan a los datos deben estar sujetas a una obligación de confidencialidad, bien legal, bien contractual. El contrato debe recoger esta exigencia y los mecanismos para verificar su cumplimiento.
Medidas de seguridad. El encargado debe aplicar las medidas técnicas y organizativas adecuadas al nivel de riesgo del tratamiento. En logística, esto incluye control de acceso a sistemas TMS, cifrado de datos en tránsito, gestión de credenciales de conductores y protocolos de borrado seguro. El contrato debe fijar el nivel mínimo exigible o remitirse a una política de seguridad acordada.
Protocolo ante subencargos. El encargado no puede subcontratar el tratamiento sin autorización del responsable. El contrato debe establecer si existe autorización general o específica para subencargos, y en qué condiciones. En una cadena logística con múltiples subcontratistas, este punto es crítico.
Asistencia al responsable en el ejercicio de derechos. Cuando un destinatario ejerce su derecho de supresión o acceso, el responsable debe poder responder en el plazo legal. Si los datos están en manos del encargado, el contrato debe regular la asistencia técnica necesaria para que el responsable pueda cumplir en el plazo de un mes, prorrogable a dos en supuestos complejos.
Protocolo ante brechas de seguridad. Si se produce un incidente de seguridad que afecte a datos personales, el encargado debe notificarlo al responsable sin dilación indebida. El responsable tiene setenta y dos horas para notificar a la AEPD si la brecha entraña riesgo para los derechos y libertades de las personas. Esta cadena de comunicación interna debe estar contractualmente regulada; de lo contrario, el plazo se consume en la confusión.
Destino de los datos al término del contrato. Al finalizar la relación, el encargado debe devolver o destruir los datos, según instrucciones del responsable. El contrato debe fijar el procedimiento y el plazo.
Redactar un contrato de encargado de tratamiento en el sector logístico no es un ejercicio mecánico de rellenar una plantilla. Requiere un proceso de análisis previo que, en nuestra experiencia asesorando a empresas de este sector, suele constar de las siguientes fases.
Fase uno: mapeo de tratamientos y proveedores. Antes de redactar el contrato, la empresa debe identificar qué proveedores acceden a datos personales y en qué calidad lo hacen. Este mapeo forma parte del registro de actividades de tratamiento que el RGPD exige mantener actualizado. En una empresa logística mediana, es habitual encontrar entre ocho y quince proveedores que actúan como encargados de tratamiento sin que exista contrato firmado.
Fase dos: análisis de riesgo por proveedor. No todos los tratamientos entrañan el mismo riesgo. El proveedor de geolocalización de una flota de cien conductores tiene un perfil de riesgo distinto al proveedor de software de nóminas. El análisis de riesgo permite priorizar los contratos y calibrar las medidas de seguridad exigibles en cada caso.
Fase tres: negociación del contenido con el proveedor. Muchos proveedores tecnológicos del sector logístico, especialmente los de origen extranjero, ofrecen sus propias condiciones de procesamiento de datos (DPA, por sus siglas en inglés). Estas condiciones deben revisarse con atención: pueden ser insuficientes para el marco español, pueden remitir a legislaciones de terceros países o pueden contener cláusulas que transfieran responsabilidad al responsable sin base jurídica suficiente.
Fase cuatro: redacción del cuerpo contractual. El contrato debe articularse en cláusulas claras, sin ambigüedad en la distribución de responsabilidades. Las cláusulas de responsabilidad cruzada entre responsable y encargado son especialmente relevantes en litigios posteriores. El lenguaje debe ser preciso: "notificar sin dilación indebida" no es equivalente a "notificar en el plazo legalmente previsto".
Fase cinco: integración en el sistema de compliance. El contrato firmado no es el final del proceso. Debe integrarse en el registro de actividades de tratamiento, en el programa de compliance de la empresa y en el protocolo de gestión de brechas. Un contrato excelente en un cajón no protege a nadie en una inspección de la AEPD.
Más allá de la dimensión técnico-jurídica, redactar y mantener contratos de encargado de tratamiento en una empresa logística implica decisiones estratégicas que corresponden a la dirección, no solo al departamento jurídico o al responsable de cumplimiento.
La primera es la decisión de inventariar. Muchas empresas de transporte han crecido incorporando herramientas digitales de forma no coordinada: un TMS de un proveedor, un sistema de seguimiento de otro, una plataforma de comunicación con clientes de un tercero. Nadie ha centralizado el mapa de quién tiene acceso a qué datos. Esta fragmentación es el origen más frecuente de incumplimientos.
La segunda decisión crítica es la relativa a las transferencias internacionales. Si el proveedor de la plataforma TMS está domiciliado fuera del Espacio Económico Europeo, el contrato de encargado de tratamiento es necesario pero insuficiente. Debe complementarse con el instrumento jurídico que legitime la transferencia internacional: las cláusulas contractuales tipo aprobadas por la Comisión Europea, en la mayoría de los casos. Esta cuestión es recurrente en el sector logístico, donde los grandes proveedores de software suelen ser estadounidenses o asiáticos.
La tercera decisión es la relativa a los subencargos en la cadena de transporte. Una empresa de paquetería que trabaja con repartidores autónomos o con subcontratistas de última milla se enfrenta a una cadena de encargos anidados. Cada eslabón de esa cadena debe estar documentado y autorizado. En nuestra experiencia, la gestión de subencargos es el punto más frecuentemente deficiente en las auditorías de compliance del sector.
La cuarta decisión es la de asignar un interlocutor interno para la gestión de brechas. Cuando se produce un incidente, setenta y dos horas es un plazo muy corto si no existe un protocolo activado de antemano. La empresa debe designar quién recibe la notificación del encargado, quién evalúa el riesgo, quién toma la decisión de notificar a la AEPD y quién comunica a los afectados si procede. Sin este protocolo, el plazo legal se incumple de forma casi inevitable.
Es frecuente encontrar empresas logísticas que consideran que su cumplimiento en materia de protección de datos queda cubierto por la cláusula de privacidad de su página web y por una política interna de confidencialidad firmada en el momento de la contratación de empleados. Esta creencia es el error más extendido del sector, y también el más costoso.
La cláusula de privacidad de la web regula la relación entre la empresa y los usuarios que visitan su sitio. No regula la relación con los proveedores que tratan datos por cuenta de la empresa. Son dos planos jurídicos completamente distintos. Confundirlos deja desprotegida a la empresa en el plano que mayor exposición económica genera: el de las relaciones con encargados de tratamiento.
¿Cuál es el coste real de no tener estos contratos? El RGPD habilita a la AEPD para imponer sanciones en función del tipo de infracción. La ausencia de contrato de encargado de tratamiento es una infracción grave. Junto a la sanción económica, la empresa puede enfrentarse a reclamaciones de los afectados, a la suspensión del tratamiento y al daño reputacional asociado a una resolución pública de la AEPD. En el sector logístico, donde la reputación de manejo seguro de datos es un activo comercial frente a grandes clientes industriales, ese daño puede superar con creces el importe de la sanción.
El registro de actividades de tratamiento, el protocolo de brechas y el modelo de compliance reducen tanto la sanción como la responsabilidad directiva. No eliminan el riesgo, pero lo gestionan. La diferencia entre una empresa que tiene estos instrumentos en orden y una que no los tiene es visible en la resolución: la AEPD valora las medidas de cumplimiento adoptadas como circunstancia atenuante.
La adaptación al RGPD en el sector logístico no puede analizarse de forma aislada. Existe una dimensión adicional que los directivos de este sector suelen pasar por alto: el compliance penal y sus implicaciones para la gestión de datos internos.
Una empresa de transporte que procesa datos de empleados para supervisar el cumplimiento de normativa laboral (registro de jornada, control de tacógrafo, gestión de ausencias) está tratando datos con una finalidad que puede rozar la vigilancia y el control. Si además dispone de un canal de denuncias, ese canal genera sus propios flujos de datos personales, que deben tratarse con garantías específicas.
La normativa sobre los canales de denuncias, transpuesta en España, impone obligaciones precisas sobre el tratamiento de los datos recogidos en las comunicaciones. Las empresas obligadas a disponer de canal de denuncias deben designar a un encargado de tratamiento para la gestión del canal si este se externaliza, con un contrato específico que contemple las particularidades de la confidencialidad del denunciante.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud con estructuras similares a las que operan en logística. La transversalidad del compliance, que combina RGPD, compliance penal y canal de denuncias, es la aproximación que reduce más eficazmente la exposición global de la empresa.
En nuestra práctica hemos observado que las empresas logísticas que afrontan este proceso de forma integrada, en lugar de abordarlo norma a norma, obtienen un sistema de cumplimiento más sólido y más sostenible en el tiempo. El compliance empresa en logística no es un conjunto de documentos: es un programa operativo que debe mantenerse.
La pregunta que con mayor frecuencia nos plantean los directivos del sector es: ¿cuándo hay que empezar? La respuesta es siempre la misma: antes de que exista un problema. Pero la pregunta lleva implícita una segunda: ¿qué pasa si ya tenemos un contrato con un proveedor que accede a nuestros datos y nunca firmamos un DPA?
La situación de partida importa, pero no es determinante. El incumplimiento anterior no impide regularizar la situación. Lo que sí importa es la velocidad a la que la empresa actúa una vez que detecta la carencia. La AEPD valora la diligencia posterior al conocimiento del incumplimiento. Una empresa que, al detectar que le falta un contrato de encargado de tratamiento con su proveedor TMS, actúa de inmediato para regularizarlo, está en una posición considerablemente mejor que una que no hace nada.
El asesoramiento temprano tiene además un impacto directo sobre el diseño del contrato. Un contrato negociado antes de iniciar la relación con el proveedor se negocia en condiciones de equilibrio. Un contrato que se intenta firmar cuando el proveedor ya está integrado en la operativa diaria se negocia con las cartas descubiertas: el proveedor sabe que la empresa no puede prescindir de él fácilmente, y las condiciones pueden ser menos favorables.
La adaptación al RGPD en una empresa logística de tamaño medio no es un proyecto de meses. Es un proceso continuo. Los proveedores cambian, los sistemas evolucionan, las categorías de datos tratados se amplían. Por eso el mantenimiento del programa de compliance empresa importa tanto como su implantación inicial.
El análisis de las implicaciones para el sector del transporte y la movilidad en materia de protección de datos, incluyendo la gestión de sanciones de la AEPD, puede consultarse en nuestra análisis sobre automoción, la AEPD y el coste de la inacción, donde desarrollamos en profundidad los criterios de la autoridad supervisora en sectores con alta densidad de datos de movilidad.
El cierre operativo de una guía como esta exige un inventario comprobable. Los directivos de empresas logísticas deben poder responder afirmativamente a cada uno de los siguientes puntos para considerar que su posición en materia de contratos de encargado de tratamiento es razonablemente sólida.
¿Cuántos de estos puntos puede marcar su empresa hoy? La respuesta a esa pregunta define la urgencia del proceso.
Para una visión completa de nuestro enfoque en protección de datos y compliance para empresas, incluidos los servicios de auditoría, implantación de DPO externo y gestión de incidentes, le invitamos a consultar nuestra área de práctica de protección de datos y compliance, donde describimos el alcance de nuestra intervención y las fases de trabajo.
Las materias tratadas en esta guía conectan directamente con otras áreas de práctica de Velarde & Vidal. Las empresas logísticas con actividad internacional o con estructuras contractuales complejas suelen requerir asesoramiento simultáneo en derecho mercantil y societario, especialmente cuando la externalización de operaciones implica la creación de vehículos jurídicos específicos. Asimismo, la gestión de datos de empleados en el contexto del transporte internacional genera intersecciones frecuentes con el derecho laboral y de movilidad. Coordinamos ambas dimensiones desde un único equipo para evitar fricciones entre áreas de cumplimiento.
Si su empresa opera en el ámbito del capital riesgo o de la innovación y necesita asesoramiento sobre el nombramiento de responsables de tratamiento en el contexto de startups y financiación, nuestra guía sobre startups y venture capital: cómo nombrar responsables de cumplimiento ofrece un desarrollo específico para ese perfil empresarial.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.