Actualizar contratos de encargado de tratamiento: cuándo y cómo revisarlos

Los contratos de encargado de tratamiento no son documentos que deban firmarse una vez y olvidarse. Aunque muchos contratos se adaptaron al RGPD en su momento, las empresas deben revisarlos cuando cambian proveedores, servicios, subencargados, medidas de seguridad, transferencias internacionales o tratamientos de datos.

El objetivo no es cumplir una fecha pasada, sino mantener actualizado el marco jurídico entre responsable y encargado. Un contrato antiguo, genérico o incoherente con el servicio real puede generar riesgos en auditorías, brechas de seguridad, inspecciones de la AEPD o reclamaciones de clientes.

Qué es un contrato de encargado de tratamiento

El contrato de encargado regula la relación entre quien decide los fines y medios del tratamiento —el responsable— y quien trata datos personales por cuenta de aquel —el encargado—. Es obligatorio cuando un proveedor accede a datos personales para prestar un servicio.

Su contenido mínimo se encuentra en el artículo 28 del RGPD y se completa con la LOPDGDD. En Auratech también puedes consultar nuestra guía principal sobre contrato de encargado de tratamiento.

Cuándo hay que actualizar un contrato de encargado

Conviene revisar y actualizar el contrato cuando se produzca cualquiera de estas situaciones:

• Se contrata un nuevo proveedor que accede a datos personales.
• El proveedor cambia el servicio prestado o empieza a tratar nuevos datos.
• Se incorporan subencargados o herramientas externas.
• Hay transferencias internacionales o cambios de ubicación de datos.
• Se modifican medidas de seguridad, hosting, soporte o mantenimiento.
• Se detecta una brecha de seguridad o incidencia relevante.
• El contrato usa cláusulas anteriores al RGPD o demasiado genéricas.
• La empresa cambia su actividad, sistemas o categorías de interesados.

Qué debe incluir un contrato actualizado

Un contrato de encargado actualizado debe describir el objeto, duración, naturaleza y finalidad del tratamiento; las categorías de datos; los tipos de interesados; las instrucciones del responsable; el deber de confidencialidad; las medidas de seguridad; la gestión de subencargados; la asistencia en derechos; la colaboración ante brechas y el destino de los datos al finalizar el servicio.

También debe recoger cómo se documentan instrucciones, auditorías, evidencias de cumplimiento y comunicaciones entre las partes. Cuanto más crítico sea el servicio, mayor debe ser el nivel de detalle.

Errores habituales

• Usar modelos genéricos sin adaptar al servicio real.
• No identificar correctamente responsable y encargado.
• Olvidar subencargados, hosting o herramientas cloud.
• No regular asistencia ante brechas de seguridad.
• No definir qué ocurre con los datos al terminar el contrato.
• No revisar transferencias internacionales.
• No conservar evidencia de aceptación y vigencia.

Cómo hacer una revisión práctica

La forma más eficiente es cruzar el inventario de proveedores con el registro de actividades de tratamiento. Para cada proveedor debe comprobarse si accede a datos personales, qué servicio presta, qué datos trata, dónde se alojan, si hay subencargados y qué contrato está firmado.

Después, se priorizan los proveedores de mayor riesgo: software de gestión, hosting, asesorías, mantenimiento informático, plataformas de marketing, herramientas de RRHH, servicios cloud y cualquier proveedor con acceso a datos sensibles o gran volumen de información.

Preguntas frecuentes

¿Siguen siendo válidos los contratos anteriores al RGPD?

Pueden ser insuficientes si no contienen las exigencias del artículo 28 RGPD. Conviene revisarlos y actualizarlos cuando no reflejen el servicio real o las obligaciones actuales.

¿Hay que firmar contrato con todos los proveedores?

Solo cuando el proveedor trate datos personales por cuenta de la empresa. Si no accede a datos personales, puede no ser necesario un contrato de encargado, aunque sí conviene documentar la valoración.

¿Qué pasa si el proveedor usa subencargados?

Debe estar autorizado conforme al contrato y deben existir garantías equivalentes. El responsable debe conocer o poder controlar esa cadena de subcontratación.

¿Cada cuánto se revisan estos contratos?

No hay una periodicidad única, pero es recomendable revisarlos al menos en auditorías periódicas y siempre que cambie el servicio, proveedor, tratamiento o riesgo.

Conclusión

Actualizar contratos de encargado de tratamiento es una medida básica de cumplimiento RGPD. No se trata solo de firmar documentos, sino de asegurar que cada proveedor trata datos conforme a instrucciones, con garantías y con responsabilidades claras.