¿Debo firmar un contrato de procesamiento de datos que me envía mi cliente?

Firmar no es una obligación, revisar sí

No, no existe una obligación legal de firmar un acuerdo de encargo de tratamiento solo porque un cliente lo envíe. Un acuerdo de encargo de tratamiento es un pacto entre dos partes y, como ocurre con cualquier contrato: primero verificas qué contiene antes de poner tu firma. El cliente que envía el acuerdo no determina automáticamente su contenido — ese contenido debe cumplir ciertos requisitos, y eso es algo diferente a "debo aceptar este documento".

Lo que sí es relevante: si como encargado del tratamiento tratas datos personales por encargo de ese cliente, el RGPD establece que debe existir un acuerdo de encargo de tratamiento con varios elementos obligatorios. Por lo tanto, no se trata de si firmas o no, sino de si el texto que recibes cubre esos elementos y se ajusta a lo que ocurre en la práctica. Un borrador redactado de forma demasiado amplia, que regule asuntos que no coinciden con la prestación real del servicio, u que le falten elementos, es motivo para ajustarlo o proponer una versión propia — no para firmarlo sin más.

Lo que el artículo 28 del RGPD establece al respecto

El artículo 28 del RGPD establece que el tratamiento realizado por un encargado debe regularse en un contrato u otro acto jurídico, y enumera los temas que deben abordarse en el mismo — entre otros, el objeto y la duración del tratamiento, la naturaleza y la finalidad, el tipo de datos personales y las categorías de interesados, y las obligaciones y derechos del responsable del tratamiento. Ese artículo no dice nada sobre quién redacta o envía el documento; solo dice qué debe contener. Para el texto completo, el propio Reglamento es la fuente, y ante dudas sobre un contrato concreto, el banco de conocimientos de la Autoridad Holandesa de Protección de Datos puede servir como referencia — aunque esa autoridad no se encarga de evaluar contratos individuales.