Contrato encargado tratamiento: ejemplo práctico

Una gestoría que confecciona nóminas, una empresa informática que aloja correos electrónicos o un proveedor que gestiona campañas comerciales pueden acceder a datos personales de su negocio. En estos casos, buscar un contrato encargado tratamiento ejemplo no es un trámite menor: es la forma de dejar claro quién usa los datos, con qué límites y qué ocurre si hay una incidencia. Sin ese acuerdo, una relación comercial aparentemente normal puede convertirse en un incumplimiento del RGPD.

El contrato de encargo de tratamiento no se firma porque sí. Debe responder a la operativa real de la empresa y cubrir las exigencias del artículo 28 del Reglamento General de Protección de Datos y de la LOPDGDD. Copiar una plantilla genérica sin revisar el servicio, las categorías de datos o los subencargados suele crear una falsa sensación de seguridad. Y ante una inspección o una brecha de seguridad, ese documento se analiza con detalle.

Cuándo necesita su empresa un contrato de encargo

La pregunta correcta no es si el proveedor firma documentos de protección de datos, sino si trata datos personales por cuenta de su empresa. Si la respuesta es sí, existe una relación entre responsable y encargado del tratamiento.

Su empresa actúa normalmente como responsable cuando decide para qué utiliza los datos de clientes, empleados, proveedores, alumnos, asociados o contactos comerciales. El encargado es el tercero que accede a esos datos únicamente para prestarle un servicio y siguiendo sus instrucciones.

Una asesoría laboral que procesa nóminas, una empresa de mantenimiento que consulta listados de residentes, un proveedor de software de facturación en la nube o una agencia que envía comunicaciones a una base de datos son ejemplos habituales. También puede haber encargo cuando se externaliza el canal interno de información, la atención telefónica o la custodia documental.

No todo proveedor es encargado. Un abogado que recibe información para defender un asunto y decide los medios jurídicos de su intervención puede actuar como responsable independiente. Una entidad bancaria, una aseguradora o una Administración Pública tampoco pasan a ser encargados por el mero hecho de recibir datos. La calificación depende de quién determina los fines y los medios esenciales del tratamiento, no del nombre que figure en el contrato.

Contrato de encargado del tratamiento: ejemplo aplicado

Imagine una pyme que contrata a una asesoría para gestionar las nóminas, los seguros sociales y las retenciones de su plantilla. La pyme es responsable del tratamiento. La asesoría es encargada, porque usa los datos de empleados para ejecutar las instrucciones de la empresa.

El acuerdo debería identificar a ambas partes y describir el servicio: gestión laboral y confección de nóminas. También debe indicar la duración del encargo, que normalmente coincidirá con la vigencia del servicio, y concretar la naturaleza y finalidad del tratamiento.

Un texto operativo podría recoger lo siguiente:

> La entidad encargada tratará, por cuenta de la entidad responsable, los datos identificativos, de contacto, económicos, laborales, de cotización y, cuando proceda, los datos necesarios para gestionar situaciones de incapacidad temporal. El tratamiento tendrá como única finalidad la prestación de los servicios de asesoramiento y gestión laboral contratados. La entidad encargada no utilizará los datos para fines propios ni los comunicará a terceros, salvo autorización documentada de la entidad responsable o obligación legal aplicable.

Este fragmento es solo una parte del contrato. Resulta útil porque baja el documento a una actividad concreta. No bastaría con afirmar que el proveedor cumplirá la normativa: hay que delimitar qué datos maneja, por qué los necesita y qué puede hacer con ellos.

Las cláusulas que no deben faltar

El artículo 28 del RGPD fija un contenido mínimo. Un contrato bien planteado debe establecer, como mínimo, que el encargado tratará los datos únicamente siguiendo instrucciones documentadas del responsable. Si recibe una instrucción que considera contraria a la normativa, debe advertirlo.

También debe imponer el deber de confidencialidad a todas las personas autorizadas para tratar la información. No es suficiente que firme el administrador de la empresa proveedora. El encargado debe asegurar que su personal, colaboradores y personas con acceso real a los datos conocen esta obligación.

Otra cláusula central se refiere a las medidas de seguridad. No hace falta llenar el contrato de tecnicismos que nadie aplica, pero sí exigir medidas adecuadas al riesgo: control de accesos, contraseñas seguras, copias de seguridad, cifrado cuando proceda, actualización de sistemas y procedimientos frente a incidentes. El nivel de exigencia será distinto si el proveedor gestiona un listado básico de contactos o historiales clínicos, datos biométricos o información de menores.

El contrato debe regular además la asistencia al responsable. El encargado tiene que colaborar cuando un interesado solicita acceso, rectificación, supresión, oposición, limitación o portabilidad. Asimismo, debe ayudar en la gestión de brechas de seguridad, en las evaluaciones de impacto cuando sean necesarias y en las consultas a la autoridad de control.

Por último, hay que decidir qué ocurre al terminar el servicio. La regla habitual es que el encargado devuelva o suprima los datos y destruya las copias existentes, salvo que una norma obligue a conservarlos durante un plazo determinado. Esta obligación debe quedar escrita, no dejarse a una conversación informal al cancelar el contrato.

Subencargados y transferencias internacionales

Un error frecuente consiste en firmar el contrato con el proveedor directo y olvidarse de la cadena posterior. Muchas empresas utilizan alojamiento en la nube, plataformas de soporte, herramientas de correo, aplicaciones de firma o servicios de copias de seguridad. Si esos terceros acceden a los datos, son subencargados.

El responsable puede exigir autorización previa específica para cada subencargado o una autorización general, con obligación de informar de cualquier cambio para que pueda oponerse por motivos justificados. El encargado debe trasladar a ese subencargado las mismas obligaciones esenciales de protección de datos que ha asumido frente al responsable.

Hay que revisar con especial cuidado dónde se alojan o desde dónde se accede a los datos. Si existe una transferencia internacional fuera del Espacio Económico Europeo, el contrato y la configuración del servicio deben prever una garantía válida. Decir que la información está “en la nube” no responde a esta cuestión ni elimina responsabilidades.

Errores que dejan el contrato sin valor práctico

El primer error es usar una plantilla sin anexos. El contrato debe reflejar las categorías de interesados, los tipos de datos, las operaciones de tratamiento y la finalidad concreta. Un anexo claro evita discusiones y demuestra que la empresa conoce su propia operativa.

El segundo es confundir la cláusula informativa para clientes con el contrato de encargo. La primera explica cómo trata datos el responsable. El segundo regula la relación con el proveedor. Son documentos distintos y ambos pueden ser necesarios.

El tercero es firmar el contrato y no aplicarlo. Si el acuerdo prohíbe accesos no autorizados, pero las claves se comparten por correo o el proveedor descarga bases de datos en equipos personales sin control, el papel no protegerá a la empresa. El cumplimiento exige medidas reales y evidencia de que se aplican.

El cuarto error es no revisar los contratos cuando cambia el servicio. Incorporar una nueva herramienta, ampliar el proveedor a campañas de marketing, permitir teletrabajo o empezar a tratar datos especialmente sensibles puede exigir actualizar el encargo y las medidas de seguridad.

Qué revisar antes de firmar

Antes de aceptar un documento enviado por su proveedor, compruebe si identifica de forma correcta a responsable y encargado, describe con precisión el servicio y recoge el destino de los datos al finalizar la relación. Revise también si contempla subencargados, acceso desde terceros países, notificación de brechas y la posibilidad de acreditar el cumplimiento mediante auditorías, certificados o información suficiente sobre sus medidas.

No conviene exigir al proveedor obligaciones imposibles de cumplir, pero tampoco aceptar cláusulas que le permitan usar los datos para finalidades propias, contratar terceros sin información o conservar bases de datos indefinidamente. El equilibrio depende del servicio, pero el control sobre los datos debe seguir en manos del responsable.

Para autónomos y pequeñas empresas, esta revisión suele ahorrar más tiempo y coste que corregir una documentación deficiente después de una reclamación. Consultoría Rosario Polo adapta los contratos de encargo a la actividad real del cliente y a los proveedores que intervienen, evitando documentos estándar que no soportan una revisión seria.

Un contrato de encargo bien redactado no sustituye la gestión diaria de protección de datos, pero marca una frontera imprescindible: sus proveedores pueden ayudarle a trabajar, no apropiarse del control sobre la información de su empresa. Revisarlo antes de que exista un incidente es una decisión operativa y económica, no burocracia.