¿Qué debe contener un contrato de procesamiento de datos?

Qué debe regular un contrato de encargo de tratamiento en todo caso

Un contrato de encargo de tratamiento debe describir qué hace el encargado del tratamiento por cuenta del responsable del tratamiento con los datos personales, y bajo qué condiciones. Esto comienza con lo fundamental: el objeto y la duración del tratamiento, la naturaleza y la finalidad del mismo, el tipo de datos personales de que se trata, y las categorías de interesados afectados. Sin esa descripción no es posible establecer si un proveedor cumple con los acuerdos.

Además, debe contener una serie de obligaciones que se derivan directamente del RGPD. El encargado del tratamiento trata los datos únicamente sobre la base de instrucciones documentadas del responsable del tratamiento, se asegura de que las personas que traten los datos estén sujetas a obligación de confidencialidad, y aplica medidas de seguridad apropiadas. También debe regularse qué ocurre cuando el encargado del tratamiento recurre a otra parte (un subencargado), cómo el encargado del tratamiento asiste en las solicitudes de los interesados y en la notificación de brechas de seguridad, y qué sucede con los datos una vez finalizada la prestación del servicio — destrucción o devolución. Frecuentemente también consta que el responsable del tratamiento puede verificar si se cumplen los acuerdos, por ejemplo mediante una auditoría.

De dónde viene esto: artículo 28 de la AVG

Esta enumeración se deriva directamente del artículo 28 del RGPD, que describe específicamente qué debe contener un contrato de encargo de tratamiento cuando un responsable del tratamiento recurre a un encargado del tratamiento. Las directrices del EDPB proporcionan orientación adicional sobre cómo esas disposiciones pueden aplicarse en la práctica, por ejemplo al evaluar medidas de seguridad o al recurrir a subencargados. En cuanto a la formulación exacta de cada obligación, el texto del artículo 28 en sí sigue siendo el punto de referencia.