Cuando una empresa contrata a un proveedor que va a acceder, alojar, consultar, gestionar o tratar datos personales por cuenta de esa empresa, no basta con firmar un contrato mercantil ordinario. En muchos casos, el RGPD exige formalizar un contrato de encargado del tratamiento que regule con precisión cómo puede tratar esos datos el proveedor, qué medidas de seguridad debe aplicar y qué obligaciones asume frente al responsable.
El contrato encargado del tratamiento RGPD es uno de los documentos más importantes en cualquier proceso serio de cumplimiento en protección de datos. Sin embargo, también es uno de los más descuidados. Muchas empresas firman cláusulas genéricas, anexos incompletos o modelos descargados de internet que no reflejan realmente el servicio contratado, los datos tratados ni los riesgos existentes.
Y ese es el problema: el contrato de encargo no es un simple trámite documental. Es la herramienta que delimita la relación entre quien decide para qué se tratan los datos —el responsable— y quien los trata por cuenta de aquel —el encargado—.
El artículo 28 del RGPD establece que, cuando un tratamiento se realice por cuenta de un responsable, este debe elegir únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Además, el tratamiento por parte del encargado debe regirse por un contrato u otro acto jurídico que vincule al encargado con el responsable.
En ARL Abogados ayudamos a empresas, profesionales y organizaciones a revisar, redactar y adaptar sus contratos de encargado del tratamiento dentro de una estrategia completa de cumplimiento normativo en protección de datos. Puedes ampliar información sobre nuestros servicios de <a href=»https://abogadosarl.com/derecho-digital-para-empresas-en-madrid/»>Derecho digital para empresas en Madrid</a> o realizar un primer <a href=»https://abogadosarl.com/autodiagnostico-proteccion-de-datos/»>autodiagnóstico de protección de datos</a>.
Qué es un contrato de encargado del tratamiento
El contrato de encargado del tratamiento es el acuerdo mediante el cual una empresa, profesional o entidad que actúa como responsable del tratamiento permite que un tercero trate datos personales por su cuenta, siguiendo sus instrucciones y dentro de los límites definidos en el propio contrato.
La Agencia Española de Protección de Datos define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u organismo que presta un servicio al responsable y que, para hacerlo, trata datos personales por cuenta de este.
Dicho de forma sencilla: si una empresa contrata a otra para que preste un servicio y, como consecuencia de ese servicio, esa empresa externa accede a datos personales de clientes, empleados, pacientes, alumnos, usuarios o contactos, probablemente haya una relación de responsable y encargado del tratamiento.
Algunos ejemplos habituales son:
- Una asesoría laboral que gestiona nóminas de los trabajadores de una empresa.
- Una empresa de hosting que aloja una página web con formularios de contacto.
- Una plataforma de email marketing que gestiona bases de datos comerciales.
- Una consultora informática que tiene acceso remoto a sistemas internos.
- Una clínica que utiliza software externo de gestión de pacientes.
- Un centro educativo que contrata una plataforma digital para alumnos y familias.
- Una empresa que externaliza las funciones de delegado de protección de datos.
En todos estos casos, el proveedor no trata los datos para sus propias finalidades, sino para prestar un servicio al responsable. Por eso debe existir un contrato de encargo que determine qué puede hacer, qué no puede hacer y bajo qué condiciones debe actuar.
Diferencia entre responsable y encargado del tratamiento
Antes de redactar un contrato de encargado del tratamiento RGPD, es imprescindible distinguir correctamente entre responsable y encargado.
El responsable del tratamiento es quien decide los fines y medios esenciales del tratamiento. Es decir, quien determina por qué se tratan los datos, para qué se utilizan, durante cuánto tiempo se conservan y qué base jurídica permite ese tratamiento.
El encargado del tratamiento, en cambio, trata los datos por cuenta del responsable. Puede adoptar decisiones técnicas u organizativas necesarias para prestar el servicio, pero no puede cambiar la finalidad del tratamiento ni utilizar los datos para sus propios fines.
Esta diferencia es clave. No toda relación entre empresas implica que una sea encargada de la otra. A veces hay dos responsables independientes. Otras veces puede existir corresponsabilidad. Y, en otros casos, sí habrá una relación clara de encargo del tratamiento.
Por ejemplo, si una empresa contrata a una gestoría para elaborar nóminas, la empresa sigue siendo responsable de los datos de sus empleados, mientras que la gestoría actúa como encargada. Pero si dos entidades deciden conjuntamente para qué y cómo explotar una base de datos común, podría existir una situación de corresponsabilidad, que requiere otro tipo de acuerdo.
Una mala calificación de los roles puede provocar contratos inadecuados, obligaciones mal asignadas y riesgos en caso de inspección, brecha de seguridad o reclamación.
Cuándo es obligatorio firmar un contrato de encargado del tratamiento RGPD
El contrato de encargado del tratamiento es obligatorio siempre que un tercero trate datos personales por cuenta del responsable.
No importa si el proveedor accede a muchos o pocos datos. Tampoco importa si el acceso es frecuente o puntual. Lo relevante es que, para prestar el servicio, el proveedor pueda acceder, consultar, almacenar, modificar, suprimir, organizar, alojar, analizar o tratar datos personales por cuenta de la empresa responsable.
La AEPD recuerda que las relaciones entre responsable y encargado deben formalizarse en un contrato o acto jurídico que vincule al encargado respecto al responsable, y que el contenido mínimo del contrato está regulado de forma detallada.
Por tanto, no es suficiente con que el proveedor diga en su web que “cumple el RGPD”. Tampoco basta con una cláusula genérica incluida al final de un presupuesto. El contrato debe identificar el servicio, los datos tratados, las instrucciones del responsable, las medidas de seguridad, la confidencialidad, la subcontratación, la asistencia en derechos, la gestión de brechas y el destino de los datos al finalizar la relación.
En la práctica, conviene revisar todos los proveedores que puedan tener acceso a datos personales. Entre ellos:
- Hosting, mantenimiento web y soporte informático.
- Herramientas de CRM, facturación, email marketing o gestión documental.
- Asesorías fiscales, laborales o contables.
- Empresas de prevención de riesgos laborales.
- Plataformas de gestión de citas, reservas o pacientes.
- Proveedores de servicios cloud.
- Empresas de destrucción documental.
- Servicios de videovigilancia o control de accesos.
- Consultores externos con acceso a bases de datos.
- Delegados de protección de datos externos.
Si quieres revisar el mapa completo de tratamientos de tu empresa, puede ser conveniente empezar por el <a href=»https://abogadosarl.com/registro-de-actividades-de-tratamiento-rat-rgpd/»>registro de actividades de tratamiento RGPD</a>, ya que permite identificar qué datos se tratan, con qué finalidad, quién accede a ellos y qué proveedores intervienen.
Qué debe incluir un contrato de encargado del tratamiento
El contrato encargado del tratamiento RGPD debe tener un contenido mínimo. No es recomendable limitarse a fórmulas genéricas, porque el artículo 28 del RGPD exige que el contrato establezca aspectos concretos como el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable.
Objeto del encargo
Debe describirse con claridad qué servicio presta el encargado y qué tratamiento de datos personales implica ese servicio.
No es lo mismo contratar un hosting, una asesoría laboral, una plataforma de email marketing o una empresa de mantenimiento informático. Cada servicio implica accesos, riesgos y obligaciones distintas.
Un contrato bien redactado debe evitar frases vagas como “el encargado tratará los datos necesarios para prestar el servicio”. Lo correcto es concretar el tipo de tratamiento que se va a realizar.
Duración del tratamiento
El contrato debe indicar durante cuánto tiempo el encargado tendrá acceso a los datos personales.
Puede coincidir con la duración del contrato principal de prestación de servicios, pero también debe regularse qué ocurre una vez finalizada la relación: devolución de datos, supresión, bloqueo, conservación legal o eliminación de copias.
Este punto es especialmente relevante cuando se trabaja con proveedores tecnológicos, servicios en la nube o plataformas que almacenan información en servidores externos.
Naturaleza y finalidad del tratamiento
El contrato debe explicar qué operaciones realizará el encargado sobre los datos: acceso, conservación, consulta, modificación, alojamiento, envío de comunicaciones, soporte técnico, elaboración de nóminas, gestión administrativa, destrucción documental, etc.
También debe quedar claro que el encargado solo podrá tratar los datos para la finalidad indicada por el responsable y nunca para fines propios.
Este aspecto es fundamental. Si el encargado utiliza los datos para finalidades propias, puede dejar de actuar como encargado y pasar a ser considerado responsable respecto a ese tratamiento. El propio RGPD prevé que, si un encargado infringe el Reglamento determinando los fines y medios del tratamiento, será considerado responsable de dicho tratamiento.
Tipo de datos personales tratados
El contrato debe identificar qué categorías de datos personales tratará el encargado.
Por ejemplo:
- Datos identificativos.
- Datos de contacto.
- Datos laborales.
- Datos económicos o bancarios.
- Datos académicos.
- Datos de salud.
- Datos de menores.
- Datos de clientes, usuarios, empleados, pacientes o proveedores.
No todos los datos tienen el mismo nivel de riesgo. El tratamiento de datos de salud, menores, datos financieros o grandes volúmenes de información exige una revisión especialmente cuidadosa de las medidas de seguridad y de las obligaciones del proveedor.
Categorías de interesados
También debe indicarse a qué personas pertenecen los datos tratados.
Pueden ser clientes, pacientes, empleados, candidatos, alumnos, familias, proveedores, usuarios web, suscriptores, contactos comerciales o cualquier otro colectivo.
Esta información ayuda a valorar el riesgo real del tratamiento y a configurar adecuadamente las obligaciones del encargado.
Instrucciones documentadas del responsable
Uno de los elementos esenciales del contrato es que el encargado solo puede tratar los datos siguiendo instrucciones documentadas del responsable.
La AEPD señala que deben documentarse de forma precisa las instrucciones respecto del encargo realizado, identificando claramente los tratamientos de datos que debe realizar el encargado y, en su caso, las comunicaciones a terceros derivadas del servicio.
Esto significa que el responsable debe dejar por escrito qué puede hacer el proveedor con los datos y qué límites no puede superar.
Por ejemplo, el encargado no debería poder:
- Usar los datos para campañas propias.
- Cederlos a terceros no autorizados.
- Subcontratar servicios sin autorización.
- Conservarlos indefinidamente tras terminar el contrato.
- Transferirlos fuera del Espacio Económico Europeo sin garantías adecuadas.
- Acceder a más datos de los estrictamente necesarios para prestar el servicio.
Cuanto más claro sea el contrato, menor será el margen de interpretación en caso de conflicto.
Confidencialidad y personal autorizado
El contrato debe obligar al encargado a garantizar que las personas autorizadas para tratar datos personales se comprometan a respetar la confidencialidad o estén sujetas a una obligación legal equivalente.
Esto afecta a empleados, colaboradores, técnicos, administradores de sistemas o cualquier persona que pueda acceder a los datos durante la prestación del servicio.
La confidencialidad no debe quedarse en una frase decorativa. Conviene que el encargado pueda acreditar que su personal conoce sus obligaciones y que existe una política interna adecuada sobre acceso, uso y protección de la información.
Medidas de seguridad
El contrato encargado del tratamiento RGPD debe establecer la obligación del encargado de aplicar medidas técnicas y organizativas apropiadas.
El RGPD exige que responsable y encargado apliquen medidas de seguridad adecuadas al riesgo, teniendo en cuenta factores como el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento. Entre las medidas citadas por el Reglamento figuran, entre otras, el cifrado, la seudonimización, la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, y la capacidad de restaurar el acceso a los datos en caso de incidente.
En la práctica, las medidas de seguridad pueden incluir:
- Control de accesos.
- Gestión de usuarios y contraseñas.
- Cifrado de información.
- Copias de seguridad.
- Registro de accesos.
- Políticas de permisos.
- Seguridad en dispositivos.
- Protocolos frente a brechas de seguridad.
- Medidas de continuidad de negocio.
- Formación del personal.
- Evaluaciones periódicas.
No todos los encargos requieren las mismas medidas. Un proveedor que trata datos de salud o datos de menores no presenta el mismo nivel de riesgo que un proveedor que accede ocasionalmente a datos identificativos básicos.
Subcontratación: cuándo puede intervenir otro proveedor
Una de las partes más sensibles del contrato es la subcontratación.
El encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable, ya sea específica o general. Si existe autorización general, el encargado debe informar al responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados, de forma que el responsable pueda oponerse.
Esto es especialmente importante en servicios tecnológicos, donde es habitual que un proveedor utilice a su vez otros proveedores: servidores cloud, herramientas de soporte, plataformas de ticketing, servicios de almacenamiento, pasarelas de comunicación o sistemas de analítica.
El contrato debe regular:
- Si se permite o no la subcontratación.
- Qué proveedores están autorizados.
- Cómo se comunicarán los cambios.
- Qué plazo tiene el responsable para oponerse.
- Qué obligaciones deben asumir los subencargados.
- Quién responde en caso de incumplimiento del subencargado.
El RGPD establece que, si un subencargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable por lo que respecta al cumplimiento de las obligaciones del otro encargado.
Asistencia al responsable
El encargado no solo debe tratar los datos correctamente. También debe ayudar al responsable a cumplir determinadas obligaciones del RGPD.
Entre otras cuestiones, el contrato debe prever que el encargado asistirá al responsable en la atención de derechos de los interesados, como acceso, rectificación, supresión, oposición, limitación o portabilidad.
También debe colaborar en materia de seguridad, brechas de datos, evaluaciones de impacto y consultas previas cuando proceda.
Esto tiene una consecuencia práctica muy importante: si un cliente, paciente, empleado o usuario ejerce un derecho y el encargado recibe la solicitud, debe saber cómo actuar, a quién comunicarlo y en qué plazo.
Qué ocurre al finalizar el contrato
El contrato debe regular qué sucede con los datos personales una vez finalizada la prestación del servicio.
El RGPD indica que, a elección del responsable, el encargado deberá suprimir o devolver todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimir las copias existentes salvo que exista una obligación legal de conservación.
Este punto suele generar problemas cuando no se ha previsto desde el principio.
Por ejemplo:
- ¿El proveedor debe entregar una copia exportable de la información?
- ¿En qué formato?
- ¿En qué plazo?
- ¿Debe eliminar las copias de seguridad?
- ¿Puede conservar determinados datos por obligación legal?
- ¿Debe emitir certificado de destrucción o supresión?
- ¿Cómo se acredita la devolución o eliminación?
Un contrato bien diseñado debe responder a estas preguntas antes de que surja el conflicto.
Auditorías y acreditación del cumplimiento
El encargado debe poner a disposición del responsable la información necesaria para demostrar el cumplimiento de sus obligaciones y permitir auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado.
Este punto no significa que cualquier empresa pueda entrar sin límite en las instalaciones de su proveedor. Pero sí implica que debe existir un mecanismo razonable para verificar que el encargado cumple lo pactado y aplica medidas adecuadas.
En algunos casos, esta acreditación puede realizarse mediante certificaciones, informes de seguridad, cuestionarios de cumplimiento, auditorías documentales o evidencias técnicas.
La AEPD recuerda que el responsable tiene un deber de diligencia en la elección del encargado y debe seleccionar proveedores que ofrezcan garantías suficientes respecto a la implantación y mantenimiento de medidas técnicas y organizativas apropiadas.
Errores frecuentes en contratos de encargado del tratamiento
Muchas empresas creen que tienen bien resuelta esta obligación porque han firmado algún anexo de protección de datos. Pero, al revisarlo, aparecen errores frecuentes:
- Usar modelos genéricos no adaptados al servicio real.
- No identificar correctamente los datos tratados.
- No regular la subcontratación.
- No prever transferencias internacionales.
- No concretar medidas de seguridad.
- No establecer qué ocurre al finalizar el contrato.
- No definir cómo se gestionan brechas de seguridad.
- No prever asistencia en el ejercicio de derechos.
- No actualizar contratos firmados antes del RGPD.
- Confundir encargado con responsable independiente.
- Firmar cláusulas contradictorias con el contrato principal.
La AEPD señala que los contratos con encargados concluidos antes de la aplicación del RGPD deben modificarse y adaptarse al contenido del artículo 28, sin que sean válidas las remisiones genéricas al Reglamento.
Por qué no conviene usar un modelo genérico descargado de internet
Un modelo puede servir como punto de partida, pero no debería sustituir el análisis jurídico del servicio concreto.
El contrato de encargado del tratamiento debe adaptarse a la realidad de la relación: qué proveedor interviene, qué datos trata, desde dónde los trata, si hay subcontratación, si existen transferencias internacionales, qué riesgos hay, qué sistemas se utilizan y qué obligaciones concretas debe asumir cada parte.
No es lo mismo redactar un contrato de encargo para una asesoría laboral que para una empresa de software sanitario, una plataforma educativa, un proveedor cloud, una agencia de marketing, una clínica, una aseguradora o un servicio de mantenimiento informático.
Por eso, la revisión debe hacerse caso por caso.
En sectores especialmente sensibles, como salud, educación, aseguradoras o servicios profesionales con datos confidenciales, la falta de un contrato adecuado puede convertirse en un riesgo jurídico, reputacional y operativo.
En ARL Abogados contamos con experiencia en protección de datos aplicada a empresas y sectores concretos. Puedes consultar nuestras páginas sobre <a href=»https://abogadosarl.com/proteccion-de-datos-para-clinicas/»>protección de datos para clínicas</a>, <a href=»https://abogadosarl.com/proteccion-de-datos-para-centros-educativos/»>protección de datos para centros educativos</a> y <a href=»https://abogadosarl.com/proteccion-de-datos-para-aseguradoras/»>protección de datos para aseguradoras</a>.
Relación entre contrato de encargado, RAT y DPO
El contrato de encargado del tratamiento no debe analizarse de forma aislada. Forma parte de un sistema de cumplimiento más amplio.
El responsable debe saber qué tratamientos realiza, qué proveedores intervienen, qué datos se comunican, qué riesgos existen y qué medidas se aplican. Para ello, el <a href=»https://abogadosarl.com/registro-de-actividades-de-tratamiento-rat-rgpd/»>registro de actividades de tratamiento</a> es una herramienta esencial.
Además, en empresas que deben contar con delegado de protección de datos, el DPO puede intervenir en la revisión de contratos, evaluación de riesgos, supervisión del cumplimiento y asesoramiento al responsable o al encargado.
Si tu empresa necesita apoyo externo, puedes consultar nuestro servicio para <a href=»https://abogadosarl.com/contratar-un-dpo-en-madrid/»>contratar un DPO en Madrid</a>.
Qué debería revisar una empresa antes de firmar
Antes de firmar un contrato de encargado del tratamiento RGPD, conviene hacerse varias preguntas:
- ¿Está claro quién es responsable y quién es encargado?
- ¿El proveedor accede realmente a datos personales?
- ¿Qué datos personales tratará?
- ¿A qué colectivos pertenecen esos datos?
- ¿Qué operaciones realizará sobre ellos?
- ¿Dónde se alojarán o tratarán los datos?
- ¿Hay proveedores fuera del Espacio Económico Europeo?
- ¿Puede el encargado subcontratar?
- ¿Qué medidas de seguridad aplica?
- ¿Cómo notificará una brecha de seguridad?
- ¿Cómo ayudará a atender derechos de los interesados?
- ¿Qué ocurrirá con los datos al terminar el servicio?
- ¿Existe coherencia entre el contrato principal y el anexo de protección de datos?
Esta revisión evita firmar contratos incompletos, asumir riesgos innecesarios o depender de cláusulas que no sirven cuando aparece un problema.
Conclusión: el contrato de encargado del tratamiento no es un trámite
El contrato encargado del tratamiento RGPD es una pieza fundamental del cumplimiento en protección de datos. No debe tratarse como un documento accesorio ni como una cláusula estándar que se firma sin revisar.
Un buen contrato protege al responsable, delimita las obligaciones del encargado, reduce riesgos, facilita la gestión de incidencias y permite acreditar una actuación diligente ante clientes, usuarios, proveedores y autoridades de control.
En un entorno donde las empresas dependen cada vez más de proveedores tecnológicos, plataformas cloud, herramientas externas y servicios especializados, revisar correctamente los contratos de encargo es una necesidad práctica.
En ARL Abogados podemos ayudarte a analizar tus proveedores, revisar tus contratos actuales, redactar contratos de encargado del tratamiento adaptados al RGPD y encajarlos dentro de una estrategia completa de cumplimiento.
Puedes contactar con nosotros a través de nuestra página de contacto, escribirnos a info@abogadosarl.com o solicitar atención directa por WhatsApp. Los datos de contacto y enlaces internos utilizados proceden del mapa y referencias del proyecto ARL Abogados.
