Una clínica utiliza una plataforma para gestionar las citas y un colegio contrata un servicio en la nube para compartir documentos. Ambos proveedores pueden acceder a datos personales. ¿Es suficiente con aceptar sus condiciones comerciales?

 

Cuando un tercero trata datos por cuenta de una organización, el artículo 28 del RGPD exige regular esa relación mediante un contrato o acto jurídico vinculante. Pero no todos los colaboradores externos son encargados del tratamiento y ningún contrato garantiza, por sí solo, la ausencia de incidentes o responsabilidades.

¿Cuándo un proveedor es encargado del tratamiento?

El responsable del tratamiento determina para qué se utilizan los datos y los medios esenciales. El encargado los trata por cuenta del responsable y siguiendo sus instrucciones documentadas.

Por ejemplo, una gestoría que confecciona nóminas con los datos facilitados por su cliente o una plataforma que aloja expedientes escolares siguiendo instrucciones pueden actuar como encargados. En cambio, un profesional sanitario que presta asistencia con autonomía y conserva documentación clínica por sus propias obligaciones puede actuar como responsable independiente.

 

La relación debe analizarse según las funciones reales, no únicamente por el sector o la denominación del contrato. Contratar a un tercero no significa automáticamente que haya que firmar un DPA con él: primero hay que identificar su papel. Si dos entidades actúan como responsables independientes, necesitarán determinar la base jurídica y las condiciones de la comunicación de datos, no simular una relación de encargo.

¿Qué debe incluir el contrato de encargo o DPA?

El data processing agreement (DPA) regula las obligaciones de protección de datos entre responsable y encargado. El artículo 28.3 del RGPD exige identificar el objeto, duración, naturaleza y finalidad del tratamiento, las categorías de personas y datos, y los derechos y obligaciones del responsable.

Además, debe concretar cuestiones que afectan al funcionamiento del servicio:

 

• Instrucciones y confidencialidad. El proveedor solo puede tratar los datos siguiendo instrucciones documentadas, salvo obligaciones legales aplicables, y debe garantizar la confidencialidad del personal autorizado.

• Seguridad. Deben establecerse medidas técnicas y organizativas apropiadas al riesgo, incluidas las obligaciones de colaboración e información necesarias para valorar su cumplimiento.

• Subencargados. La intervención de otros proveedores requiere autorización previa, específica o general, del responsable, con condiciones de información y oposición cuando corresponda.

• Derechos e incidentes. El encargado debe asistir al responsable en la atención de solicitudes y en la gestión de violaciones de seguridad de datos personales.

• Finalización y control. Debe regularse la devolución o supresión de datos, con las salvedades legales, y facilitar información para comprobar el cumplimiento y realizar auditorías cuando proceda.

El acuerdo puede integrarse en las condiciones de un servicio digital y formalizarse electrónicamente si resulta jurídicamente vinculante y cumple los requisitos. No es obligatorio redactar un contrato diferente desde cero para cada proveedor, pero sí comprobar que su contenido corresponde al tratamiento real.

Qué comprobar antes de aceptar las condiciones de un proveedor

Una clínica o centro educativo debería revisar tanto el texto contractual como las garantías efectivas del servicio. La AEPD recuerda que el responsable debe elegir encargados que ofrezcan garantías suficientes y supervisar la relación.

Conviene identificar qué información tendrá disponible el proveedor, quién podrá acceder, qué subcontratistas utiliza y dónde se realizan los tratamientos. Si existen transferencias internacionales, habrá que comprobar las condiciones del capítulo V del RGPD, además del DPA.

 

También conviene examinar la documentación de seguridad, los procedimientos de respuesta a incidentes y las condiciones de recuperación o devolución de los datos al terminar el contrato.

 

Por ejemplo, si un colegio cambia de plataforma de gestión, debería conocer cómo podrá recuperar sus expedientes y cuándo se eliminarán las copias que ya no deban conservarse. Si una clínica utiliza un sistema de citas externo, deberá verificar qué datos necesita realmente y cómo limita los accesos.

 

No basta con exigir al proveedor un certificado genérico ni con aceptar que toda la responsabilidad pase a su empresa: el deber de diligencia del responsable se mantiene.

¿Qué ocurre si el proveedor sufre una brecha de datos?

Si el encargado detecta una violación de seguridad de datos personales, el artículo 33.2 del RGPD exige que informe al responsable sin dilación indebida. El contrato puede establecer un plazo operativo más concreto y un canal para facilitar la información necesaria.

El responsable debe valorar el incidente, adoptar medidas, documentarlo y determinar si procede notificarlo a la autoridad de control. Cuando exista riesgo para los derechos y libertades, la notificación a la autoridad debe efectuarse, cuando sea posible, dentro de las 72 horas desde que el responsable tenga conocimiento; no todas las brechas se notifican.

 

El contrato puede distribuir obligaciones operativas y contemplar responsabilidades entre las partes, pero no permite desplazar automáticamente las obligaciones legales del responsable ni garantiza que este quede exento de una sanción o reclamación. La eventual responsabilidad se analiza conforme al RGPD y a las circunstancias del incumplimiento.

Preguntas frecuentes

¿Qué ocurre si un proveedor se niega a aceptar un DPA?

Primero hay que confirmar que realmente actúa como encargado. Si lo es, no debería iniciarse el tratamiento por su cuenta sin un contrato o acto jurídico válido con el contenido del artículo 28. Puede existir un acuerdo electrónico o incorporado a condiciones generales, sin necesidad de una firma manuscrita separada.

¿Es válido un modelo estándar?

Sí, si contiene las cláusulas obligatorias, resulta vinculante y describe correctamente el servicio. Lo importante es revisar instrucciones, subcontratistas, seguridad, incidentes y devolución de los datos; no descartar una plantilla únicamente por ser estándar.

¿Firmar el DPA evita las sanciones?

No. Es una obligación necesaria cuando existe una relación de encargo, pero deben comprobarse también las garantías ofrecidas y su aplicación efectiva. Un documento no sustituye la supervisión ni elimina posibles responsabilidades.

Cómo puede ayudar SIBPRODASA

SIBPRODASA contempla la redacción de contratos de encargado del tratamiento con terceros y su revisión dentro de los servicios de implantación y auditoría RGPD. También ofrece asesoramiento en protección de datos para entidades sanitarias y educativas.

Revisar la función de cada proveedor, la documentación contractual y las condiciones reales del servicio ayuda a detectar obligaciones pendientes y a definir responsabilidades sin prometer una protección jurídica absoluta.

 

Consulta el servicio de implantación de protección de datos de SIBPRODASA.

 

Un contrato de encargo útil aclara qué hace el proveedor, bajo qué instrucciones y cómo se supervisa el tratamiento durante toda la relación.