¿qué sucede si no tengo un acuerdo de procesamiento con mi proveedor

Sin un contrato de encargo de tratamiento, no cumple con el artículo 28 del RGPD

Si un proveedor trata datos personales en su nombre y no existe un contrato de encargo de tratamiento, eso ya constituye por sí solo un incumplimiento del RGPD — independientemente de que algo más salga mal con esos datos. El artículo 28 del RGPD establece que la contratación de un encargado de tratamiento debe documentarse en un contrato u otro acto jurídico; sin esa documentación falta la base legal para la cooperación, incluso si el proveedor trata los datos con cuidado.

Esto ocurre por ejemplo con software en la que se incluyen datos de clientes, datos de personal o datos de facturación: paquetes de contabilidad, herramientas de mailing, proveedores de alojamiento. Quien no esté seguro de si una determinada herramienta está sujeta a esta obligación puede comprobarlo mediante ¿cómo sé si el software que utilizo cumple con el RGPD verificar; y la cuestión de si esto también se aplica a un asesor contable se trata en ¿debo celebrar un acuerdo de procesamiento con mi contable. La ausencia de un contrato generalmente no se descubre por sí sola, hasta que se produce una filtración de datos, una reclamación de un cliente o una inspección — y entonces resulta que los acuerdos no existen.

De lo que se deduce del artículo 28 del RGPD

El artículo 28 del RGPD establece que el tratamiento por parte de un encargado de tratamiento se rige por un contrato que debe documentar un número de cuestiones obligatorias, como el fin del tratamiento, la duración y las obligaciones del encargado de tratamiento; qué cuestiones exactamente se describen en qué debe incluir un contrato de encargo de tratamiento. La obligación de tener este contrato recae tanto en el responsable del tratamiento como en el encargado de tratamiento, y se aplica en toda la UE directamente desde el reglamento; quién debe supervisar el cumplimiento varía según el país — en los Países Bajos es la Autoridad de Protección de Datos, en otros Estados miembros la autoridad supervisora de ese país. Más información sobre la autoridad supervisora se puede encontrar a través de la Autoridad de Protección de Datos.