El error más frecuente al evaluar un contrato de encargado del tratamiento es que las empresas firman el documento sin verificar qué función tiene cada parte en esa relación. Un contrato de encargado del tratamiento regula los acuerdos entre un responsable del tratamiento, que determina por qué y cómo se tratan los datos, y un encargado del tratamiento, que lo hace por encargo. Si no se verifica esa distribución de funciones, a veces firma un documento que en absoluto se aplica a su situación, o puede que le falte un contrato que debería haber tenido.
Además, a menudo surgen problemas en otros tres puntos: encargados del subencargo que no se mencionan, medidas de seguridad descritas solo en términos generales, y ningún acuerdo sobre qué sucede con los datos una vez que finaliza la colaboración. Estos no son detalles menores, sino el núcleo de para qué sirve un contrato de encargado del tratamiento: dejar constancia de quién es responsable de qué, mientras dura la colaboración y también después.
No verificar la distribución de funciones
Un contrato de encargado del tratamiento parte de una distribución fija: una parte determina el fin y los medios del tratamiento, la otra ejecuta ese tratamiento siguiendo instrucciones. En la práctica, a veces esos roles varían según el encargo. Un despacho de contabilidad es encargado del tratamiento para la administración de nóminas de un cliente, pero responsable del tratamiento para sus propios datos de personal. Quien firma un contrato sin determinar este rol no está seguro de que se firme el documento correcto. El propio RGPD describe esta distribución de funciones, y las directrices del EDPB la tratan extensamente.
Encargados del subencargo que quedan sin mención
Muchas herramientas SaaS a su vez contratan a otras partes, por ejemplo para alojamiento o para servicio al cliente. Un contrato de encargado del tratamiento debe indicar si esto está permitido, bajo qué condiciones, y si se le informa previamente. Si falta esa disposición, simplemente no sabe qué partes en la práctica tienen acceso a los datos que proporciona. Esta es precisamente la información que puede consultar en la base de conocimientos por tema antes de firmar.
Seguridad descrita solo en términos generales
Una frase como "se adoptan medidas técnicas y organizativas apropiadas" en sí no dice mucho. Un contrato que va más allá especifica concretamente qué significan esas medidas: cifrado, control de acceso, copias de seguridad, procedimientos de notificación ante un incidente. Cuanto más específico sea esto, más claro es lo que un proveedor realmente hace. Para comparar: en la página sobre cómo nosotros mismos tratamos los datos y la seguridad puede ver cómo una explicación de este tipo puede verse en la práctica.
Sin acuerdo sobre el final de la colaboración
¿Qué sucede con los datos una vez que finaliza el contrato? ¿Se devuelven, se destruyen o permanecen en algún lugar? Este es uno de los puntos que más a menudo falta, mientras que es precisamente después de que finaliza una colaboración cuando es difícil hacer acuerdos posteriores. Un contrato de encargado del tratamiento que no dice nada al respecto lo deja con una laguna en la documentación precisamente cuando menos puede utilizarla.
Cómo evitar esto
La mayoría de estos errores no surgen por falta de voluntad, sino por falta de tiempo: un contrato de encargado del tratamiento se ve como un trámite mientras que en el fondo se trata de cuatro o cinco puntos concretos. Revise esos puntos antes de firmar, y pregunte al proveedor si falta algo o está formulado de manera vaga. Si tiene dudas sobre una disposición específica, consulte a un abogado o, si tiene preguntas sobre la interpretación del propio RGPD, a la Autoridad de Protección de Datos. También encontrará respuestas a preguntas frecuentes sobre este tipo de documentos en las preguntas frecuentes sobre contratos de encargado del tratamiento.
Esta explicación está diseñada para orientarle sobre qué debe contener un contrato de encargado del tratamiento, no para evaluar si un documento específico que recibió cumple con los requisitos. Cómo llegamos a esta información y qué fuentes la respaldan, puede leerlo en la página sobre cómo funciona.
¿Desea ver rápidamente dónde se encuentra su empresa? Realice el escaneo rápido gratuito u hojeе los temas en la base de conocimientos para ver qué paso es relevante para su situación.