Un acuerdo de encargado del tratamiento es un acuerdo escrito entre dos partes: quien determina por qué y cómo se tratan los datos personales, y quien lo hace en su nombre. El primero se denomina en el RGPD responsable del tratamiento, el segundo encargado del tratamiento. Necesita tal acuerdo tan pronto como externalice el tratamiento de datos personales a otra empresa, por ejemplo, una oficina de nómina, un proveedor de alojamiento o una herramienta SaaS en la que se encuentren datos de clientes.
El núcleo es simple: la ley obliga a este acuerdo porque el responsable del tratamiento sigue siendo responsable de lo que sucede con los datos, incluso si otra empresa realiza el trabajo técnico. Sin acuerdos claros, no queda establecido qué puede y qué no puede hacer la otra parte con los datos, cuánto tiempo se conservan y qué sucede en caso de una brecha de datos. Un acuerdo de encargado del tratamiento hace visible esa división.
Cuándo existe un encargado del tratamiento
No todas las partes con las que coopera son un encargado del tratamiento. Un contador que prepara su cuenta anual con su propia responsabilidad profesional suele ser el responsable del tratamiento para esa tarea. Un servicio en la nube que almacena y trata su base de datos de clientes según sus instrucciones suele ser un encargado del tratamiento. La distinción radica en la pregunta de quién determina el propósito y los medios del tratamiento. Si duda si una parte es un encargado del tratamiento, la base de conocimientos de la Autoridad de Protección de Datos le proporciona orientación, y también puede revisar esto por situación en la base de conocimientos con temas del RGPD por situación.
Qué debe incluirse como mínimo
El RGPD menciona una serie de temas que deben regularse en un acuerdo de encargado del tratamiento: el objeto y la duración del tratamiento, su naturaleza y propósito, el tipo de datos personales y categorías de interesados, las obligaciones y derechos del responsable del tratamiento, y acuerdos sobre seguridad, confidencialidad, subencargados y la forma de cooperar en auditorías. También incluye cómo se gestiona una posible brecha de datos en el encargado del tratamiento, y qué sucede con los datos una vez que termina la cooperación.
Esta enumeración aparece literalmente en la propia normativa; si desea releer la formulación exacta, la encontrará en EUR-Lex. Las autoridades de supervisión como el EDPB han publicado además directrices sobre cómo se interpretan estas disposiciones en la práctica, por ejemplo, en relación con la cuestión de cuándo debe notificarse previamente a un subencargado o no.
Quién redacta el acuerdo
En la práctica, a menudo la parte más grande proporciona la plantilla: un proveedor de software envía su propio acuerdo de encargado del tratamiento al celebrar una suscripción, o un cliente le envía uno porque usted trata datos en su nombre. Esto no significa que tenga que firmar un texto proporcionado sin más. Se recomienda verificar que todos los temas mencionados estén incluidos, que los acuerdos de seguridad se alineen con lo que espera de la otra parte, y que la responsabilidad se distribuya de manera razonable. En caso de duda sobre una cláusula específica, es recomendable presentarla a un abogado.
Por qué esto es más que una firma
Un acuerdo de encargado del tratamiento no es una formalidad que se resuelve una sola vez y se olvida. Tan pronto como un proveedor de herramientas cambia, contrata un subencargado fuera de la UE, o la naturaleza del tratamiento de datos cambia, el acuerdo existente puede quedar obsoleto. Las empresas que trabajan con múltiples herramientas SaaS suelen tener entre diez y veinte de estos acuerdos vigentes, cada uno con su propia duración y sus propios términos. Hacer un seguimiento de qué acuerdos existen, cuáles están obsoletos y cuáles faltan es una tarea aparte de las operaciones comerciales diarias.
Los acuerdos de seguridad incluidos en el acuerdo también merecen atención: dicen algo sobre cómo un encargado del tratamiento gestiona el acceso, el cifrado y las notificaciones en caso de incidentes. Puede leer más sobre qué es relevante al respecto en la página sobre seguridad de los datos personales en los encargados del tratamiento.
Lo que usted puede hacer
En cada nueva colaboración, compruebe si se comparten datos personales y, en caso afirmativo, si es necesario y está presente un acuerdo de encargado del tratamiento. Guarde estos acuerdos de forma clara, junto con el registro de tratamiento que indica qué herramienta procesa qué datos. Si duda de si un acuerdo concreto es completo, puede verificarlo gratuitamente en los aspectos más importantes. Para preguntas frecuentes sobre este tema, como qué ocurre si un proveedor no quiere firmar un acuerdo, hay un resumen en la página con preguntas frecuentes sobre el RGPD.
¿Desea saber cómo se adapta esto a su situación específica, por ejemplo, cuántos acuerdos de encargado del tratamiento probablemente necesita y cuáles de ellos requieren atención? Realice el análisis rápido gratuito o registre una cuenta empresarial para mantener actualizado el registro. De esta manera verá en unos minutos dónde se encuentra, sin estar obligado a nada de inmediato.