¿puede un acuerdo de procesamiento acordarse también verbalmente o por correo electrónico

Verbal o por correo electrónico no es suficiente

No, un acuerdo verbal o un intercambio de correos electrónicos sueltos no es válido como contrato de procesamiento de datos. El artículo 28 de la RGPD establece que los acuerdos entre un responsable del tratamiento y un encargado del tratamiento deben constar en un contrato u otro acto jurídico que sea escrito, y ese formato escrito también puede ser electrónico. Una promesa telefónica o un acuerdo verbal durante una conversación queda fuera: no consta de una forma que sea verificable posteriormente.

Un intercambio de correos electrónicos está en un término medio. Correos sueltos en los que las partes mencionan algunos acuerdos sobre el tratamiento de datos generalmente no constituyen un contrato de procesamiento de datos válido en sí mismo, porque la RGPD establece requisitos de contenido que normalmente no se completan en tal intercambio de correos. Un documento escrito o electrónico que sí aborde completamente ese contenido —y que también haya sido intercambiado por correo electrónico y aprobado— puede valer como contrato de procesamiento de datos. Por lo tanto, no se trata del medio en sí, sino de si todos los componentes obligatorios están incluidos y si consta que ambas partes están de acuerdo. Lo que exactamente debe incluirse se describe en qué debe incluir un contrato de encargo de tratamiento.

De lo que se deduce del artículo 28 del RGPD

El artículo 28, apartado 3 de la RGPD establece que el tratamiento por parte de un encargado se rige por un contrato u otro acto jurídico que vincula a las partes, y que debe constar por escrito, incluida la forma electrónica. Este requisito se aplica de la misma manera en toda la UE, porque la RGPD es un reglamento que tiene efecto directo; no hay espacio para una interpretación nacional diferente en este punto. Quien dudas si un acuerdo existente con un proveedor cumple con este requisito puede verificarlo mediante la verificación en o si el software utilizado cumple con la RGPD; para más información sobre las consecuencias de la falta de tal contrato existe la página sobre qué sucede sin un contrato de procesamiento de datos con un proveedor. Para el texto oficial del artículo en sí, la fuente es la RGPD en EUR-Lex, y para la orientación de la autoridad de supervisión holandesa, la Autoridad de Protección de Datos es la fuente designada.