Casi ninguna empresa trata todos sus datos por sí sola. Usa una gestoría, un programa de facturación en la nube, un servicio de correo, una plataforma de marketing o una empresa de mantenimiento informático. Si esos proveedores acceden a datos personales por cuenta de la empresa, la normativa exige formalizar la relación por escrito.
Responsable y encargado
El responsable es quien decide los fines y los medios del tratamiento. El encargado es quien trata datos personales por cuenta del responsable. Una gestoría laboral que prepara nóminas, o un proveedor que aloja un programa de gestión, son ejemplos habituales de encargados del tratamiento.
El responsable debe elegir únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas.
El contrato exigido
El artículo 28 del Reglamento general de protección de datos establece que el tratamiento por el encargado se regirá por un contrato u otro acto jurídico que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados.
Sin ese contrato, tanto el responsable como el encargado pueden incurrir en infracción, aunque el servicio se preste con total normalidad.
Contenido recomendable
El contrato debería recoger, como mínimo:
- Que el encargado tratará los datos solo siguiendo instrucciones documentadas.
- El compromiso de confidencialidad del personal autorizado.
- Las medidas de seguridad que debe aplicar.
- Las condiciones para subcontratar con otros proveedores.
- La colaboración para atender derechos de los interesados.
- El aviso de violaciones de seguridad y los plazos.
- Qué ocurre con los datos al terminar el servicio.
Los proveedores internacionales
Si el proveedor está fuera del Espacio Económico Europeo, o utiliza subencargados en terceros países, hay que analizar las transferencias internacionales y sus garantías, regladas en los artículos 44 a 49. Es un punto donde se concentran muchos riesgos en herramientas de uso diario.
Cómo organizar la revisión
Haga un listado de todos los proveedores con acceso a datos. Compruebe en cada caso si hay contrato, qué dice y si está actualizado. Priorice los de mayor riesgo, como sistemas de gestión, nómina y almacenamiento en la nube.
Una práctica útil
Incluya en su proceso de compras una revisión de protección de datos antes de contratar cualquier servicio nuevo. Es mucho más fácil acordar las condiciones al principio que renegociarlas después. Si el proveedor no ofrece garantías, valore alternativas.
Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.