El núcleo del acuerdo de encargo de tratamiento está en el RGPD mismo, y ese texto no cambia cada año. Lo que sí se desplaza es la práctica que lo rodea: qué proveedores utiliza, cómo esos proveedores a su vez contratan a subcontratistas, y las normas sobre la transferencia de datos fuera de la Unión Europea, que la Comisión Europea ajusta de vez en cuando. Para la mayoría de las PYMES, eso no se nota en su propio contrato, sino en el anexo: la lista de subencargados que su proveedor utiliza.
Eso hace que la distinción sea importante. La obligación de celebrar un acuerdo de encargo de tratamiento con cada parte que trata datos personales en su nombre sigue siendo sin cambios. Lo que cambia está en los detalles que dependen de esa obligación: qué subencargados están activos, si un proveedor hace que los datos se traten fuera de la UE, y qué acuerdos al respecto se consideran adecuados en un momento determinado.
Lo que no cambia en la ley misma
La obligación de un acuerdo de encargo de tratamiento, los componentes mínimos que debe contener, y el papel del responsable del tratamiento frente al encargado: esos son componentes fijos del RGPD. En este momento no hay ningún cambio anunciado de estas disposiciones. Cuando eso suceda, será a través de una modificación de la propia Orden o a través de una sentencia del Tribunal de Justicia de la Unión Europea, no a través de un mensaje separado de una autoridad supervisora.
Lo que sí se desplaza en la práctica
Tres cosas suelen cambiar, y a menudo sin que se dé cuenta inmediatamente. En primer lugar, los proveedores de software amplían su funcionalidad, por ejemplo con funciones de IA que se añaden a una herramienta existente. Eso puede significar que aparezca un nuevo subencargado que no conocía. En segundo lugar, las autoridades supervisoras y el EDPB modifican regularmente sus directrices sobre temas específicos, como almacenamiento en la nube o transferencia internacional, sin que cambie la ley misma. En tercer lugar, la Comisión Europea a veces ajusta las cláusulas contractuales que se utilizan para la transferencia de datos a países fuera de la UE.
Subencargados: el cambio silencioso
La mayoría del cambio en un acuerdo de encargo de tratamiento no está en el documento principal, sino en el anexo con subencargados. Un paquete de contabilidad que contrata a un nuevo proveedor de alojamiento, una herramienta de RR.HH. que subcontrata el servicio al cliente a un centro de llamadas en otro país: esos son cambios que según el RGPD deben comunicársele, para que pueda evaluar si se opone. En la práctica, esta es precisamente la parte que las empresas más fácilmente pasan por alto, porque a menudo se menciona en un correo electrónico con una actualización de producto y no en una notificación jurídica separada.
Transferencia fuera de la UE
Si un proveedor hace que los datos se traten fuera de la Unión Europea, debe haber una base legal separada para ello, por ejemplo cláusulas contractuales de la Comisión Europea o una decisión de que un país ofrece un nivel de protección adecuado. Estas bases legales se revisan de vez en cuando; lo que en un momento se consideraba adecuado puede ajustarse posteriormente. Para usted como cliente de un proveedor de SaaS, esto significa que la base legal de un acuerdo existente puede cambiar sin que el contrato en sí se modifique. Lo que esto significa concretamente para sus propios proveedores no se puede decir en general; requiere una mirada al acuerdo específico y al estado actual de la Autoridad Nacional de Protección de Datos.
Qué significa esto para sus propios acuerdos
La pregunta práctica no es si la ley ha cambiado, sino si los subencargados del tratamiento y las normas de transferencia en virtud de sus acuerdos existentes siguen siendo coherentes con lo que una vez acordó o verificó. Eso significa revisar periódicamente si un proveedor ha notificado nuevos subencargados del tratamiento, y si los anexos de su contrato de encargado del tratamiento siguen siendo actuales. Para una primera orientación sobre qué debe contener exactamente un contrato de este tipo, puede consultar la base de conocimientos sobre contratos de encargado del tratamiento; está disponible de forma gratuita y está seleccionada por tema, con la referencia al texto legal incluida.
Es recomendable no ver esto como una verificación única, sino como algo que continúa mientras utilice proveedores que procesen datos en su nombre. Quienes utilicen múltiples herramientas SaaS y no sepan exactamente qué subencargados del tratamiento dependen de ellas, pueden encontrar esa información en las preguntas frecuentes sobre contratos de encargado del tratamiento en vigor. Y si duda sobre si un cambio notificado por un proveedor tiene consecuencias para su propia responsabilidad, es recomendable que lo verifique con un abogado o, en caso de duda sobre la autoridad supervisora correcta, que se dirija a la Autoridad de Protección de Datos.
Los empresarios que deseen saber cómo se ve esta supervisión en la práctica pueden leer de dónde proviene la información en gdpria.eu y cómo se controlan los cambios en los proveedores.
Verifique su propia situación
La mayoría de la confusión sobre "qué ha cambiado este año" no proviene de un cambio legal, sino de un proveedor que ha hecho un ajuste sin que usted lo haya notado. Si desea ver en unos minutos si su situación requiere atención, puede realizar el análisis rápido gratuito o consultar la base de conocimientos sobre los temas relevantes para su empresa.