Control de proveedores y encargados del tratamiento

Por qué el control de proveedores ya no es opcional

Firmar el contrato de encargado y archivarlo no basta. El Reglamento General de Protección de Datos obliga a elegir «únicamente un encargado que ofrezca garantías suficientes». Además, el contrato debe permitir al responsable hacer «auditorías, incluidas inspecciones». En otras palabras, la ley da por hecho que vas a comprobar lo que hace tu proveedor.

La AEPD lo aplica. En 2021 sancionó a Vodafone con 8 millones de euros, y 4 de ellos fueron por no controlar a los encargados y subencargados que hacían campañas comerciales en su nombre. La Agencia multó en 2024 con 200.000 euros a un grupo hospitalario por los fallos de seguridad del proveedor que alojaba su historia clínica electrónica. En esa resolución recordó que el responsable es el supervisor último de las medidas, aunque el sistema sea de un tercero.

Por otro lado, la ciberseguridad empuja en la misma dirección:

• NIS2. La directiva europea incluye entre las medidas obligatorias «la seguridad de la cadena de suministro». Muchas empresas afectadas ya trasladan esa exigencia a sus proveedores mediante cuestionarios y cláusulas.
• DORA. Desde el 17 de enero de 2025, bancos, aseguradoras y demás entidades financieras deben llevar un registro de sus proveedores tecnológicos.
• ISO 27001. La norma dedica varios controles a las relaciones con proveedores. Quien se certifica tiene que demostrar que los evalúa y los sigue.

Cómo hacemos el control de proveedores

1. Inventario y clasificación por riesgo

Primero identificamos a todos los proveedores que acceden a datos personales o a tus sistemas. Después los clasificamos según el tipo de datos, el volumen, el acceso a sistemas, la ubicación de los datos y la importancia del servicio para tu negocio. Así concentramos el esfuerzo donde está el riesgo.

2. Revisión de contratos y subencargados

Comprobamos que cada contrato de encargado incluye lo que exige la ley: instrucciones, confidencialidad, medidas de seguridad, subencargados, auditorías y devolución o borrado de los datos al terminar. Si falta, preparamos el contrato o la adenda. Te contamos qué debe incluir en nuestra guía del contrato de encargado del tratamiento.

3. Cuestionario y evidencias

Enviamos a cada proveedor un cuestionario adaptado a su nivel de riesgo y le pedimos evidencias: certificaciones como ISO 27001 o el Esquema Nacional de Seguridad, políticas de seguridad, lista de subencargados, ubicación de los servidores y garantías para transferencias internacionales. También hacemos el seguimiento de quien no responde.

4. Informe de riesgo y plan de acción

Para cada proveedor emitimos una valoración clara: aceptable, aceptable con medidas o no aceptable. Además, indicamos qué hay que pedirle o corregir y en qué plazo.

5. Seguimiento continuo

Revisamos a los proveedores cada año y también cuando hay un cambio relevante: un nuevo subencargado, una brecha de seguridad o un cambio de servicio. De este modo, el control no se queda en una foto fija.

6. Registro centralizado

Toda la información queda ordenada en nuestra plataforma de cumplimiento: contratos, cuestionarios, evidencias, valoraciones y fechas de revisión. Si la AEPD, un auditor o un cliente te lo piden, lo tienes listo.

Tres niveles de control de proveedores según el riesgo

• Básico: para proveedores de bajo riesgo, como servicios que apenas manejan datos de contacto. Revisamos el contrato y obtenemos una declaración de cumplimiento.
• Estándar: para la mayoría de proveedores con acceso a datos de clientes o empleados. Añadimos el cuestionario, la revisión de evidencias y la valoración del riesgo.
• Crítico: para proveedores que tratan datos de salud, de menores o a gran escala, o que sostienen sistemas esenciales. Hacemos una revisión en profundidad, con reunión con el proveedor y plan de acción detallado.

Así no pagas por revisar a fondo a un proveedor de bajo riesgo ni te quedas corto con los que de verdad importan. Te enviamos una propuesta cerrada según el número de proveedores y su nivel.

Qué recibes

• Inventario de proveedores clasificado por nivel de riesgo.
• Contratos de encargado revisados y, cuando falten, redactados.
• Cuestionarios y evidencias de cada proveedor, archivados.
• Informe de riesgo por proveedor con su plan de acción.
• Calendario de revisiones y aviso cuando toca renovar.
• Documentación preparada para demostrar tu diligencia ante la AEPD, un auditor ISO 27001 o un cliente.

Para quién es este servicio

• Empresas medianas que trabajan con decenas de proveedores y no tienen un equipo de riesgos o de compras que los controle.
• Colegios y centros educativos, que confían datos de menores a plataformas educativas, comedores y empresas de actividades.
• Clínicas y empresas del sector sanitario, por los datos de salud.
• Empresas que preparan la certificación ISO 27001 o el Esquema Nacional de Seguridad.
• Proveedores de empresas sujetas a NIS2 o DORA que reciben cuestionarios de sus clientes y necesitan responderlos con solvencia.

Lo que no hacemos

No certificamos a tus proveedores ni garantizamos su seguridad: eso solo puede hacerlo una entidad de certificación acreditada. Nuestro trabajo es verificar la documentación y las garantías que aportan, valorar el riesgo y hacer el seguimiento, de forma que puedas demostrar que actuaste con diligencia.

Preguntas frecuentes sobre el control de proveedores

¿Es obligatorio el control de proveedores?

Sí, en lo que afecta a datos personales. El RGPD exige elegir encargados con garantías suficientes y permite auditarlos, y la AEPD ha sancionado a responsables por los fallos de sus proveedores.

¿Basta con firmar el contrato de encargado?

No. El contrato es necesario, pero la AEPD exige además comprobar, durante toda la relación, que el proveedor aplica las medidas a las que se comprometió.

¿Cada cuánto hay que revisar a un proveedor?

Como referencia, una vez al año y siempre que haya un cambio relevante. Los proveedores críticos pueden necesitar un seguimiento más frecuente.

¿Qué pasa si un proveedor no responde?

Insistimos por los cauces acordados en el contrato y, si no hay respuesta, lo reflejamos en el informe como riesgo no verificado. Entonces te proponemos alternativas: exigirlo por contrato, limitar los datos que recibe o cambiar de proveedor.

¿Sustituye a una auditoría presencial?

No siempre. Para la mayoría de proveedores, la revisión documental es suficiente y proporcionada. En los críticos, el informe indica si conviene una auditoría presencial.

Si quieres entender el marco completo, lee nuestra guía sobre la gestión de riesgos de terceros.