Los contratos de encargado de tratamiento no son documentos que deban firmarse una vez y olvidarse. Aunque muchos contratos se adaptaron al RGPD en su momento, las empresas deben revisarlos cuando cambian proveedores, servicios, subencargados, medidas de seguridad, transferencias internacionales o tratamientos de datos.
El objetivo no es cumplir una fecha pasada, sino mantener actualizado el marco jurídico entre responsable y encargado. Un contrato antiguo, genérico o incoherente con el servicio real puede generar riesgos en auditorías, brechas de seguridad, inspecciones de la AEPD o reclamaciones de clientes.
En este artículo vamos a tratar...
Qué es un contrato de encargado de tratamiento
El contrato de encargado regula la relación entre quien decide los fines y medios del tratamiento —el responsable— y quien trata datos personales por cuenta de aquel —el encargado—. Es obligatorio cuando un proveedor accede a datos personales para prestar un servicio.
Su contenido mínimo se encuentra en el artículo 28 del RGPD y se completa con la LOPDGDD. En Auratech también puedes consultar nuestra guía principal sobre contrato de encargado de tratamiento.
Cuándo hay que actualizar un contrato de encargado
Conviene revisar y actualizar el contrato cuando se produzca cualquiera de estas situaciones:
- Se contrata un nuevo proveedor que accede a datos personales.
- El proveedor cambia el servicio prestado o empieza a tratar nuevos datos.
- Se incorporan subencargados o herramientas externas.
- Hay transferencias internacionales o cambios de ubicación de datos.
- Se modifican medidas de seguridad, hosting, soporte o mantenimiento.
- Se detecta una brecha de seguridad o incidencia relevante.
- El contrato usa cláusulas anteriores al RGPD o demasiado genéricas.
- La empresa cambia su actividad, sistemas o categorías de interesados.
Qué debe incluir un contrato actualizado
Un contrato de encargado actualizado debe describir el objeto, duración, naturaleza y finalidad del tratamiento; las categorías de datos; los tipos de interesados; las instrucciones del responsable; el deber de confidencialidad; las medidas de seguridad; la gestión de subencargados; la asistencia en derechos; la colaboración ante brechas y el destino de los datos al finalizar el servicio.
También debe recoger cómo se documentan instrucciones, auditorías, evidencias de cumplimiento y comunicaciones entre las partes. Cuanto más crítico sea el servicio, mayor debe ser el nivel de detalle.
Errores habituales
- Usar modelos genéricos sin adaptar al servicio real.
- No identificar correctamente responsable y encargado.
- Olvidar subencargados, hosting o herramientas cloud.
- No regular asistencia ante brechas de seguridad.
- No definir qué ocurre con los datos al terminar el contrato.
- No revisar transferencias internacionales.
- No conservar evidencia de aceptación y vigencia.
Cómo hacer una revisión práctica
La forma más eficiente es cruzar el inventario de proveedores con el registro de actividades de tratamiento. Para cada proveedor debe comprobarse si accede a datos personales, qué servicio presta, qué datos trata, dónde se alojan, si hay subencargados y qué contrato está firmado.
Después, se priorizan los proveedores de mayor riesgo: software de gestión, hosting, asesorías, mantenimiento informático, plataformas de marketing, herramientas de RRHH, servicios cloud y cualquier proveedor con acceso a datos sensibles o gran volumen de información.
Preguntas frecuentes
¿Siguen siendo válidos los contratos anteriores al RGPD?
Pueden ser insuficientes si no contienen las exigencias del artículo 28 RGPD. Conviene revisarlos y actualizarlos cuando no reflejen el servicio real o las obligaciones actuales.
¿Hay que firmar contrato con todos los proveedores?
Solo cuando el proveedor trate datos personales por cuenta de la empresa. Si no accede a datos personales, puede no ser necesario un contrato de encargado, aunque sí conviene documentar la valoración.
¿Qué pasa si el proveedor usa subencargados?
Debe estar autorizado conforme al contrato y deben existir garantías equivalentes. El responsable debe conocer o poder controlar esa cadena de subcontratación.
¿Cada cuánto se revisan estos contratos?
No hay una periodicidad única, pero es recomendable revisarlos al menos en auditorías periódicas y siempre que cambie el servicio, proveedor, tratamiento o riesgo.
Conclusión
Actualizar contratos de encargado de tratamiento es una medida básica de cumplimiento RGPD. No se trata solo de firmar documentos, sino de asegurar que cada proveedor trata datos conforme a instrucciones, con garantías y con responsabilidades claras.