¿cómo sé si el software que utilizo cumple con el RGPD

Una herramienta SaaS es conforme con el RGPD si el contrato y la práctica coinciden

No existe un sello de conformidad ni marca de verificación que declare oficialmente que una herramienta SaaS es "conforme con el RGPD" — el RGPD no evalúa el software en sí, sino la forma en que un proveedor maneja los datos personales y lo que se ha acordado al respecto. En la mayoría de los casos, una herramienta es utilizable sin riesgo significativo si se cumplen tres cosas: existe un contrato de encargo de tratamiento con el proveedor, ese contrato regula los elementos obligatorios como el objeto del tratamiento y las medidas de seguridad, y queda claro dónde se tratan y almacenan físicamente los datos.

Estos dos últimos puntos son donde a menudo falla la práctica. Muchas herramientas SaaS recurren a otras partes — un proveedor de alojamiento, un servicio de asistencia en otro país — y esto se llama encargado del tratamiento secundario. También ocurre que los datos se tratan fuera de la UE, lo que está sujeto a requisitos adicionales. Quien dude sobre si un proveedor actúa como encargado del tratamiento o como responsable del tratamiento en su empresa, encontrará más información en la distinción entre encargado del tratamiento y responsable del tratamiento. Y quien quiera saber qué debe incluir exactamente el contrato con el proveedor, lo encontrará en la página sobre el contenido de un contrato de encargo de tratamiento.

En qué se basa esto: artículos 28 y 44 del RGPD

La obligación de formalizar acuerdos con una parte que trata datos personales se deriva del artículo 28 del RGPD, que también especifica qué debe regular ese contrato como mínimo — incluyendo el recurso a encargados del tratamiento secundarios. El tratamiento de datos fuera de la UE cae bajo el artículo 44 del RGPD, que impone requisitos adicionales para la transferencia a un tercer país. Estas disposiciones son directamente aplicables en toda la UE, por lo que el núcleo de la evaluación — ¿existe un contrato de encargo de tratamiento y se cubre adecuadamente la transferencia fuera de la UE — no varía por país. La EDPB desarrolla en sus directrices cómo se aplican estos artículos en la práctica, por ejemplo al evaluar encargados del tratamiento secundarios y transferencias internacionales.