El 65% de las pymes españolas comparte datos de clientes con proveedores externos sin ningún contrato de protección de datos. Una gestoría que accede a las nóminas de tus empleados, un CRM que almacena los datos de tus clientes en servidores estadounidenses, una agencia de marketing que envía campañas con tu base de datos… Todos ellos son encargados del tratamiento y, sin el contrato adecuado, tanto ellos como tú estáis cometiendo una infracción del RGPD.
¿Qué Es un Contrato de Encargo del Tratamiento?
El artículo 28 del RGPD establece que cuando una empresa (el responsable del tratamiento) confía datos personales a un tercero para que los trate en su nombre (el encargado del tratamiento), esta relación debe estar formalizada mediante un contrato específico.
No vale con una cláusula genérica en el contrato de servicios. El contrato de encargo del tratamiento —también llamado DPA, por sus siglas en inglés Data Processing Agreement— debe contener obligaciones concretas y garantías suficientes sobre cómo se tratan esos datos.
¿Quién Es Encargado del Tratamiento en Tu Empresa?
Probablemente más proveedores de los que crees:
- Tu gestoría o asesoría laboral: accede a datos de empleados (salarios, datos bancarios, situación familiar).
- Tu proveedor de CRM (Salesforce, HubSpot, Zoho): almacena datos de clientes y prospectos.
- Software de facturación en la nube (Holded, Sage, QuickBooks Online): contiene datos fiscales de clientes.
- Tu agencia de marketing digital: maneja tu base de datos para enviar newsletters o campañas.
- Tu proveedor de correo electrónico empresarial (Google Workspace, Microsoft 365): almacena comunicaciones con datos personales.
- Empresa de limpieza o seguridad con acceso a instalaciones donde se tratan datos: en muchos casos también requiere DPA.
Qué Debe Contener el Contrato de Encargo del Tratamiento
El artículo 28.3 del RGPD establece los contenidos mínimos obligatorios:
Contenido Mínimo Exigido por Ley
- Objeto y duración del tratamiento.
- Naturaleza y finalidad del tratamiento.
- Tipo de datos personales y categorías de interesados.
- Obligaciones y derechos del responsable.
Además, el encargado debe comprometerse a:
- Tratar los datos solo según las instrucciones documentadas del responsable.
- Garantizar la confidencialidad del personal autorizado a tratar los datos.
- Implementar las medidas de seguridad técnicas y organizativas del artículo 32 del RGPD.
- Ayudar al responsable a responder solicitudes de ejercicio de derechos.
- Suprimir o devolver los datos al finalizar la prestación del servicio.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento.
- No subcontratar sin autorización previa del responsable.
Casos Reales de Sanciones por Falta de Contrato DPA
Caso 1: Empresa Sancionada con 15.000€ por Proveedor Cloud Sin DPA
La AEPD impuso una sanción de 15.000 euros a una empresa de servicios profesionales tras comprobar que almacenaba datos de clientes en una plataforma de almacenamiento en la nube de un proveedor estadounidense sin haber suscrito ningún contrato de encargo del tratamiento. Adicionalmente, no existía documentación sobre las transferencias internacionales de datos ni se había verificado que el proveedor ofreciera garantías adecuadas. La infracción fue calificada como grave conforme al artículo 83.4 del RGPD.
Caso 2: Agencia de Marketing Multada con 10.000€ por Operar Sin DPA
Una agencia de marketing digital recibió una sanción de 10.000 euros —y la empresa que le había contratado una de igual cuantía— tras detectarse que la agencia había utilizado la base de datos de clientes de su cliente para enviar comunicaciones comerciales sin que existiera ningún contrato de encargo del tratamiento entre ambas partes. La ausencia del DPA implicó que no había instrucciones documentadas sobre el uso permitido de los datos, convirtiéndose la agencia en corresponsable del tratamiento.
Checklist para Contratos de Encargo del Tratamiento
- Identificados todos los proveedores que acceden a datos personales de tu empresa
- Contrato DPA firmado con cada encargado del tratamiento identificado
- El contrato incluye los contenidos mínimos del artículo 28.3 RGPD
- Documentada la autorización para subcontratistas (sub-encargados)
- Verificadas las garantías del proveedor en caso de transferencias internacionales de datos
- Establecido el procedimiento de devolución o destrucción de datos al fin del contrato
- El encargado puede demostrar cumplimiento (certificaciones, auditorías, etc.)
- Registro de Actividades de Tratamiento (RAT) actualizado con los encargados
- Revisión periódica de los contratos cuando cambian los proveedores o los servicios
- Cláusula de notificación de brechas de seguridad al responsable en plazo máximo de 72 horas
En Protección de Datos Valencia redactamos y revisamos contratos de encargo del tratamiento adaptados a tu sector y a los proveedores concretos que utiliza tu empresa. Muchas pymes desconocen que operar sin estos contratos supone una infracción sancionable incluso sin que haya ocurrido ningún incidente. Solicita una consulta gratuita a través de nuestro formulario de contacto y auditamos sin coste tus relaciones con proveedores para identificar si estás en riesgo.
Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 28 y 83; Agencia Española de Protección de Datos (aepd.es) — Resoluciones de procedimientos sancionadores; Guía práctica para las relaciones entre responsables y encargados del tratamiento, AEPD (2021); Comité Europeo de Protección de Datos, Directrices 07/2020 sobre los conceptos de responsable y encargado del tratamiento.
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.