Una clínica utilitza una plataforma per gestionar les cites i un col·legi contracta un servei al núvol per compartir documents. Tots dos proveïdors poden accedir a dades personals. N'hi ha prou amb acceptar les seves condicions comercials?

 

Quan un tercer tracta dades per compte d'una organització, l'article 28 del RGPD exigeix regular aquesta relació mitjançant un contracte o acte jurídic vinculant. Però no tots els col·laboradors externs són encarregats del tractament i cap contracte garanteix, per si sol, l'absència d'incidents o responsabilitats.

Quan un proveïdor és encarregat del tractament?

El responsable del tractament determina per a què s'utilitzen les dades i els mitjans essencials. L'encarregat les tracta per compte del responsable i seguint les seves instruccions documentades.

Per exemple, una gestoria que confecciona nòmines amb les dades facilitades pel seu client o una plataforma que allotja expedients escolars seguint instruccions poden actuar com a encarregats. En canvi, un professional sanitari que presta assistència amb autonomia i conserva documentació clínica per les seves pròpies obligacions pot actuar com a responsable independent.

 

La relació s'ha d'analitzar segons les funcions reals, no únicament pel sector o la denominació del contracte. Contractar un tercer no significa automàticament que calgui signar un DPA amb ell: primer cal identificar el seu paper. Si dues entitats actuen com a responsables independents, hauran de determinar la base jurídica i les condicions de la comunicació de dades, no simular una relació d'encàrrec.

Què ha d'incloure el contracte d'encàrrec o DPA?

El data processing agreement (DPA) regula les obligacions de protecció de dades entre responsable i encarregat. L'article 28.3 del RGPD exigeix identificar l'objecte, la durada, la naturalesa i la finalitat del tractament, les categories de persones i dades, i els drets i les obligacions del responsable.

A més, ha de concretar qüestions que afecten el funcionament del servei:

 

• Instruccions i confidencialitat. El proveïdor només pot tractar les dades seguint instruccions documentades, excepte per obligacions legals aplicables, i ha de garantir la confidencialitat del personal autoritzat.

• Seguretat. S'han d'establir mesures tècniques i organitzatives apropiades al risc, incloses les obligacions de col·laboració i informació necessàries per valorar-ne el compliment.

• Subencarregats. La intervenció d'altres proveïdors requereix autorització prèvia, específica o general, del responsable, amb condicions d'informació i oposició quan correspongui.

• Drets i incidents. L'encarregat ha d'assistir el responsable en l'atenció de sol·licituds i en la gestió de violacions de seguretat de dades personals.

• Finalització i control. S'ha de regular la devolució o supressió de dades, amb les excepcions legals, i facilitar informació per comprovar el compliment i realitzar auditories quan correspongui.

L'acord es pot integrar en les condicions d'un servei digital i formalitzar-se electrònicament si resulta jurídicament vinculant i compleix els requisits. No és obligatori redactar un contracte diferent des de zero per a cada proveïdor, però sí comprovar que el seu contingut es correspon amb el tractament real.

Què cal comprovar abans d'acceptar les condicions d'un proveïdor

Una clínica o centre educatiu hauria de revisar tant el text contractual com les garanties efectives del servei. L'AEPD recorda que el responsable ha d'escollir encarregats que ofereixin garanties suficients i supervisar la relació.

Convé identificar quina informació tindrà disponible el proveïdor, qui hi podrà accedir, quins subcontractistes utilitza i on es realitzen els tractaments. Si existeixen transferències internacionals, caldrà comprovar les condicions del capítol V del RGPD, a més del DPA.

 

També convé examinar la documentació de seguretat, els procediments de resposta a incidents i les condicions de recuperació o devolució de les dades en finalitzar el contracte.

 

Per exemple, si un col·legi canvia de plataforma de gestió, hauria de conèixer com podrà recuperar els seus expedients i quan s'eliminaran les còpies que ja no s'hagin de conservar. Si una clínica utilitza un sistema de cites extern, haurà de verificar quines dades necessita realment i com limita els accessos.

 

No n'hi ha prou amb exigir al proveïdor un certificat genèric ni amb acceptar que tota la responsabilitat passi a la seva empresa: el deure de diligència del responsable es manté.

Què passa si el proveïdor pateix una violació de seguretat de dades?

Si l'encarregat detecta una violació de seguretat de dades personals, l'article 33.2 del RGPD exigeix que informi el responsable sense dilació indeguda. El contracte pot establir un termini operatiu més concret i un canal per facilitar la informació necessària.

El responsable ha de valorar l'incident, adoptar mesures, documentar-lo i determinar si escau notificar-lo a l'autoritat de control. Quan existeixi risc per als drets i les llibertats, la notificació a l'autoritat s'ha d'efectuar, quan sigui possible, dins de les 72 hores des que el responsable en tingui coneixement; no totes les violacions de seguretat s'han de notificar.

 

El contracte pot distribuir obligacions operatives i preveure responsabilitats entre les parts, però no permet traslladar automàticament les obligacions legals del responsable ni garanteix que aquest quedi exempt d'una sanció o reclamació. L'eventual responsabilitat s'analitza d'acord amb el RGPD i les circumstàncies de l'incompliment.

Preguntes freqüents

Què passa si un proveïdor es nega a acceptar un DPA?

Primer cal confirmar que realment actua com a encarregat. Si ho és, no s'hauria d'iniciar el tractament per compte seu sense un contracte o acte jurídic vàlid amb el contingut de l'article 28. Pot existir un acord electrònic o incorporat a les condicions generals, sense necessitat d'una signatura manuscrita separada.

És vàlid un model estàndard?

Sí, si conté les clàusules obligatòries, resulta vinculant i descriu correctament el servei. L'important és revisar les instruccions, els subcontractistes, la seguretat, els incidents i la devolució de les dades; no descartar una plantilla únicament pel fet de ser estàndard.

Signar el DPA evita les sancions?

No. És una obligació necessària quan existeix una relació d'encàrrec, però també s'han de comprovar les garanties ofertes i la seva aplicació efectiva. Un document no substitueix la supervisió ni elimina possibles responsabilitats.

Com pot ajudar SIBPRODASA

SIBPRODASA preveu la redacció de contractes d'encarregat del tractament amb tercers i la seva revisió dins dels serveis d'implantació i auditoria RGPD. També ofereix assessorament en protecció de dades per a entitats sanitàries i educatives.

Revisar la funció de cada proveïdor, la documentació contractual i les condicions reals del servei ajuda a detectar obligacions pendents i a definir responsabilitats sense prometre una protecció jurídica absoluta.

 

Consulta el servei d'implantació de protecció de dades de SIBPRODASA.

 

Un contracte d'encàrrec útil aclareix què fa el proveïdor, sota quines instruccions i com se supervisa el tractament durant tota la relació.