Contrato de encargado de tratamiento (Art. 28 RGPD): Qué exigir a tus proveedores de software y cloud

La digitalización del tejido empresarial ha provocado que la práctica totalidad de las organizaciones dependan de terceros para gestionar sus operaciones. Desde un programa de facturación en la nube hasta un gestor de clientes (CRM) o una plataforma de marketing, las PYMEs comparten a diario miles de datos de clientes, empleados y proveedores con empresas externas.

Sin embargo, externalizar un servicio no exime a la empresa de su responsabilidad legal. El Artículo 28 del Reglamento General de Protección de Datos (RGPD) establece que toda relación entre un responsable del tratamiento (tu empresa) y un encargado del tratamiento (tu proveedor de software) debe formalizarse mediante un contrato vinculante. Desde Acorán te explicamos qué cláusulas exige la ley, qué riesgos asumes si no regularizas a tus proveedores y cómo formalizar este proceso de forma segura.

¿Cuándo actúa un proveedor de software como encargado de tratamiento?

Existe la falsa creencia de que un proveedor informático solo suministra tecnología y no trata información. En términos legales, cualquier entidad externa que acceda, almacene, aloje o procese datos personales por cuenta de tu empresa se considera Encargado del Tratamiento.

Ejemplos habituales en el entorno corporativo incluyen:

• Proveedores de hosting y almacenamiento en la nube (AWS, Google Cloud, Microsoft Azure).

• Plataformas de correo electrónico y software de automatización de marketing.

• Asesorías laborales y gestorías informáticas que procesan nóminas.

• Software de control de presencia o gestión de Recursos Humanos.

• Mantenimiento informático con acceso remoto a servidores corporativos.

Para garantizar la seguridad de esta información, nuestro equipo de consultoría LOPD para empresas ayuda a identificar a todos los terceros con acceso a tus sistemas y a formalizar las salvaguardas legales necesarias.

Cláusulas obligatorias del contrato de encargado de tratamiento según el Artículo 28

El acuerdo no puede ser una manifestación genérica de intenciones; debe regular minuciosamente las instrucciones del tratamiento. El contrato firmado o la adenda de protección de datos (DPA) debe incluir obligatoriamente los siguientes aspectos:

Objeto del Acuerdo	Requisito Legal Exigido (Art. 28.3 RGPD)	Impacto Práctico para la Empresa
Instrucciones documentadas	El encargado solo tratará los datos siguiendo las órdenes expresas del responsable.	Impide que el proveedor use la base de datos para fines propios o comerciales.
Confidencialidad	Garantía de que el personal autorizado del proveedor respeta la confidencialidad.	Obliga al proveedor a formar y vincular legalmente a sus desarrolladores o técnicos.
Medidas de seguridad	Implementación de medidas técnicas y organizativas (cifrado, seudonimización, backups).	Exige verificar la ciberseguridad real del servidor o herramienta contratada.
Subencargados de tratamiento	Prohibición de subcontratar sin autorización previa y por escrito del responsable.	Evita que los datos se transfieran a terceros no auditados sin tu conocimiento.
Asistencia en derechos ARCO	Ayudar al responsable a responder al ejercicio de derechos de los interesados.	El proveedor debe facilitar herramientas para borrar, corregir o exportar datos.
Notificación de brechas	Notificar al responsable cualquier incidente de seguridad de forma inmediata.	Clave para cumplir con la obligación de informar a la AEPD en menos de 72 horas.
Destino final de los datos	Supresión o devolución de la información al finalizar la prestación del servicio.	Garantiza que no queden copias residuales en los servidores del proveedor tras la baja.

El riesgo de los proveedores en la nube y las transferencias internacionales

Al contratar software internacional, es habitual que los servidores principales o de respaldo estén ubicados fuera del Espacio Económico Europeo (EEE). Si el proveedor almacena información en países sin un nivel de protección adecuado, se produce una transferencia internacional de datos.

En estos casos, el contrato de encargado de tratamiento debe complementarse con las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea o verificar el marco de privacidad aplicable (como el Data Privacy Framework para empresas de EEUU). En Acorán auditamos la arquitectura de tus herramientas digitales para asegurar que tus flujos de datos internacionales cumplan con la legalidad.

¿Sirven los «Términos y Condiciones» estándar de las grandes plataformas?

Plataformas globales como Google, Microsoft o Salesforce incorporan Anexos de Procesamiento de Datos (DPA) en sus condiciones generales. Aunque estos textos suelen cumplir con el estándar normativo, es imprescindible que la empresa los acepte formalmente, guarde copia de la versión vigente en la fecha de contratación y verifique que la configuración técnica elegida respete la privacidad desde el diseño.

Sanciones por no regularizar el contrato con tus proveedores

No formalizar el contrato de encargado de tratamiento constituye una infracción grave según la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD).

Las consecuencias jurídicas y económicas incluyen:

• Multas administrativas de la AEPD: Las sanciones por infringir el Artículo 28 del RGPD pueden alcanzar hasta los 10 millones de euros o el 2% del volumen de negocio anual global de la empresa.

• Responsabilidad solidaria: Si tu proveedor sufre un incidente de seguridad y no contabas con un contrato adecuado, tu empresa responderá ante los afectados por falta de diligencia en la elección del encargado.

• Pérdida de reputación: Sufrir una fuga de datos en herramientas de terceros sin cobertura legal erosiona la confianza de tus clientes e inversores.

Pasos para auditar y regularizar tus herramientas de software

Si tu empresa utiliza programas externos sin la correspondiente cobertura contractual, te recomendamos seguir este procedimiento de revisión:

1. Crear un inventario de software y proveedores: Identificar todas las herramientas CRM, ERP, correo, almacenamiento y analítica empleadas por el personal.

2. Revisar los contratos vigentes: Verificar si existe una cláusula de encargado de tratamiento adaptada al RGPD o si se firmó un contrato desfasado basado en la antigua LOPD.

3. Firmar adendas de privacidad (DPA): Enviar el modelo de contrato de encargado de tratamiento a aquellos proveedores locales o a medida que no lo hayan facilitado.

4. Solicitar evidencias de seguridad: Exigir certificados ISO 27001, esquemas nacionales de seguridad o auditorías periódicas que acrediten la solvencia técnica del proveedor.

Llevar a cabo esta auditoría garantiza el blindaje jurídico de tu organización. Si necesitas soporte técnico y legal para este proceso, nuestro equipo de consultores en protección de datos puede realizar el análisis integral de tus encargados de tratamiento.

Preguntas frecuentes

¿Cuándo es obligatorio firmar un contrato de encargo de tratamiento?
Es obligatorio cuando una empresa contrata a un proveedor externo que necesita acceder a datos personales de sus clientes o empleados para prestar un servicio. Por ejemplo, puede ser una asesoría laboral, una empresa informática o una agencia de marketing.

¿El contrato de encargo de tratamiento debe hacerse por escrito?
Sí. El contrato debe formalizarse por escrito, incluido en formato electrónico, y debe estar firmado antes de que el proveedor comience a prestar el servicio que implique el acceso a datos personales.

¿Quién firma el contrato de encargo de tratamiento?
El acuerdo se establece entre el responsable del tratamiento, que es la empresa que decide sobre los datos, y el encargado del tratamiento, que es el proveedor que accede a ellos para prestar un servicio.

¿Qué debe incluir un contrato de encargo de tratamiento?
Debe especificar, entre otros aspectos, el objeto y duración del encargo, la naturaleza y finalidad del tratamiento, los tipos de datos personales y afectados, las instrucciones que debe seguir el proveedor, la confidencialidad, las medidas de seguridad, la subcontratación y las obligaciones de asistencia y auditoría.

¿Puede un encargado del tratamiento subcontratar el servicio?
Sí, pero si el proveedor necesita contratar a un tercero para realizar parte del servicio, necesita contar con la autorización previa y por escrito de la empresa responsable del tratamiento.

¿Qué obligaciones tiene el encargado del tratamiento?
El encargado debe tratar los datos únicamente siguiendo las instrucciones documentadas de la empresa, garantizar la confidencialidad del personal autorizado, aplicar las medidas técnicas y organizativas necesarias y colaborar con el responsable en la atención de los derechos de los usuarios y en posibles auditorías o inspecciones.

Otros artículos de interés: