Contratos de encargo de tratamiento del RGPD: las cláusulas que de verdad sostienen

Por qué existe el contrato de encargo

Conforme al RGPD, el responsable decide por qué y cómo se tratan los datos personales; el encargado actúa siguiendo las instrucciones documentadas del responsable. El artículo 28 exige un contrato escrito entre ambos siempre que un encargado trate datos personales, y enumera su contenido obligatorio.

Esa lista es un suelo, no una plantilla. Un contrato firmado que reproduce los diez puntos como texto estándar y deja los anexos vacíos no es, en la práctica, ningún contrato.

El contenido obligatorio

El artículo 28.3 exige indicar el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados, así como las obligaciones y derechos del responsable. Añade diez deberes concretos del encargado:

1. Tratar solo siguiendo instrucciones documentadas del responsable, incluidas las transferencias a terceros países.
2. Someter a obligaciones de confidencialidad al personal autorizado.
3. Aplicar las medidas de seguridad del artículo 32.
4. Respetar las condiciones para recurrir a otro encargado.
5. Asistir al responsable ante solicitudes de derechos de los interesados.
6. Asistir en notificación de brechas, seguridad y evaluaciones de impacto.
7. Suprimir o devolver los datos al finalizar el servicio.
8. Facilitar toda la información necesaria para demostrar el cumplimiento.
9. Permitir y contribuir a auditorías e inspecciones.
10. Informar al responsable de exigencias legales que las contradigan antes de tratar.

Un contrato al que le falte alguno es incompleto de entrada. Pero la exhaustividad es la prueba fácil; la difícil es si las cláusulas son operativamente ciertas.

Los anexos soportan el peso

Tres anexos hacen el trabajo real. La descripción del tratamiento debe describir el tratamiento de verdad, no repetir los considerandos. Las medidas técnicas y organizativas deben enumerar salvaguardas concretas, porque son el documento que un auditor compara con la realidad. La lista de subencargados debe estar vigente y completa, porque un encargado no puede recurrir a un nuevo subencargado sin autorización y debe dar al responsable ocasión de oponerse.

El patrón de fallo es constante: el anexo de medidas dice «cifrado en reposo y en tránsito» mientras un almacén de copias permanece sin cifrar, o la lista de subencargados tiene dos años porque nadie la mantiene. Ambos son hallazgos que se leen como descuido y no como mala fe, y ambos son enteramente evitables.

Subencargados y transferencias internacionales

El encargado que recurre a un subencargado debe imponerle por contrato las mismas obligaciones de protección. La autorización puede ser específica o general; si es general, el responsable debe poder oponerse, y el encargado debe informar de los cambios previstos con tiempo para que la oposición sirva de algo.

Las transferencias fuera del Espacio Económico Europeo necesitan su propia base jurídica: una decisión de adecuación o garantías apropiadas como las cláusulas contractuales tipo de 2021. Un contrato de encargo por sí solo no autoriza una transferencia. Si hay subencargados en terceros países, el mecanismo de transferencia debe documentarse en la misma arquitectura que el tratamiento, no añadirse después.

Hacer real el contrato

Tres prácticas separan un contrato operativo de uno archivado. Primera: mantener la lista de subencargados bajo control de versiones, con responsable nombrado y fecha de revisión. Segunda: vincular cada entrada del anexo de medidas a un control nombrado que aparezca en su documentación de seguridad, para que ambos se puedan comparar. Tercera: verificar cada año que el anexo sigue describiendo lo que ocurre, porque el valor de un contrato de encargo no está en la firma, sino en si quien lo lee reconocería su operación.