Sí, puede redactar usted mismo un contrato de encargo de tratamiento. El RGPD no prescribe un formato obligatorio: no existe un modelo oficial que deba utilizar, solo una serie de temas que el contrato debe regular en cualquier caso. Para una relación sencilla con un servicio claramente definido, sin subencargados y sin datos que salgan de la UE, redactar uno mismo suele ser una tarea viable de una tarde.
La cuestión no es tanto si está permitido, sino si la situación es lo suficientemente sencilla como para hacerlo bien sin ayuda. En cuanto hay varias partes en la cadena, se tratan datos sensibles, o la otra parte le envía su propio borrador de contrato que difiere de lo que necesita, redactar uno mismo se vuelve más difícil de controlar. En ese caso, el asesoramiento jurídico, o al menos una revisión estructurada, es más prudente que rellenar una plantilla y esperar que sea correcto.
Qué debe incluirse en cualquier caso
Independientemente de quién redacte el contrato, un contrato de encargo de tratamiento regula un conjunto fijo de temas. En él consta cuál es el objeto y la duración del tratamiento, qué categorías de datos personales y de interesados afecta, y cuál es la finalidad del tratamiento. Además, el contrato establece que el encargado solo actúa por instrucción del responsable del tratamiento, que los empleados del encargado están obligados a guardar secreto, qué medidas de seguridad se aplican, cómo se contratan y notifican los subencargados, cómo coopera el encargado en las solicitudes de los interesados y en las notificaciones de incidentes de seguridad, y qué ocurre con los datos una vez finalizado el contrato. Estos elementos figuran literalmente en el propio Reglamento; quien los omita en un borrador, omite algo que debe estar.
Cuándo funciona la redacción propia
La redacción propia funciona bien cuando la relación es clara: usted es el responsable del tratamiento, contrata a un único proveedor para un servicio claramente delimitado, no hay subencargados conocidos fuera de la UE, y los datos no son especialmente sensibles. Piense en un programa de contabilidad, una herramienta de correo o un sistema de planificación cuyo proveedor ya ofrece una versión estándar. En ese caso, su trabajo es principalmente verificar que el texto estándar cubra los elementos fijos y que los acuerdos realizados se ajusten a lo que la herramienta realmente hace. Para quien desee tener esa visión general de las herramientas que se utilizan a diario, encontrará en la base de conocimientos con los elementos fijos por situación una estructura para comparar.
Cuándo es más prudente externalizar
El límite se desplaza en cuanto la cadena se vuelve más compleja: varios subencargados, transferencia a países fuera de la UE, tratamiento de datos de salud, datos biométricos o datos de menores de edad, o una contraparte que presenta su propio borrador que difiere de lo que esperaba. En esos casos, el riesgo no es que no tenga contrato, sino que firme o redacte uno que no cubra lo que realmente ocurre. Un abogado o asesor especializado puede entonces evaluar si los acuerdos se ajustan al flujo real de datos, algo que una plantilla no puede hacer por usted.
Usar una plantilla es diferente de redactar uno mismo
Hay diferencia entre usar una plantilla como punto de partida y redactar un contrato completamente usted mismo. Una plantilla le obliga a revisar los elementos fijos, pero no los cumplimenta automáticamente de forma correcta para su situación. Lo contrario ocurre también con un contrato que un cliente o proveedor le envía: puede parecer completo y aún así le falta un elemento, u contiene un acuerdo que no se ajusta a lo que sucede en la práctica. Las respuestas a preguntas frecuentes al respecto, como qué puede exigir razonablemente un cliente y qué no, se encuentran recopiladas en las preguntas frecuentes sobre contratos de encargo de tratamiento.
Lo que gdpria.eu hace en esto
Verificar un contrato de encargado del tratamiento que alguien le envía, y buscar los elementos fijos en la base de conocimientos, es gratuito y sin necesidad de cuenta. El sistema circundante — el conjunto de documentos con plantillas, el seguimiento de contratos en vigor y los plazos asociados — está incluido en la suscripción. Lo que contiene se presenta de forma clara en la descripción de las formas de suscripción. Proporcionamos orientación y estructura, no asesoramiento jurídico: usted decide por sí mismo si redacta el documento, utiliza una plantilla o contrata a un abogado.
¿Desea ver primero cómo funciona esto en la práctica antes de crear algo? Consulte los temas en la base de conocimientos, o crear una cuenta de negocios para configurar el registro y el seguimiento de sus propios contratos de encargado del tratamiento.