Contrato de encargado do tratamento (art. 28 RGPD): cando e con quen asinalo

Sumario

• Que é o contrato de encargado do tratamento?
• Cando tes que asinalo?
• Con quen o asinas (e con quen non)?
• Que ten que incluír o contrato como mínimo?
• Que pasa se o teu provedor subcontrata outra empresa?
• Que pasa se non o asinas?
• Como o asinas na práctica?
• Preguntas frecuentes
• Fontes oficiais

Que é o contrato de encargado do tratamento?

Encargado do tratamento = unha empresa externa que manexa datos por ti, seguindo as túas instrucións, sen decidir para que se usan. A túa xestoría, cando fai as túas nóminas, é un encargado. O teu hosting, cando garda a túa web cos datos dos teus clientes, tamén.

Cando lle dás a esa empresa acceso a datos persoais (dos teus clientes, dos teus empregados ou de calquera persoa), a lei obrígate a formalizalo nun contrato. Non abonda cun acordo verbal nin cunha cláusula xenérica perdida nas condicións do provedor: o contrato ten un contido mínimo taxado pola lei, e explicámolo máis abaixo.

Este contrato non substitúe a información que xa lles dás aos teus clientes ou empregados sobre o tratamento dos seus datos (iso son as cláusulas informativas). É un acordo distinto, entre a túa empresa e o provedor, que regula o que o provedor pode e non pode facer con eses datos.

Cando tes que asinalo?

Tes que telo asinado antes de que o provedor empece a tratar os datos, non como trámite posterior. Na práctica, isto pasa en tres momentos:

1. Ao contratar un provedor novo que vai manexar datos persoais: hosting, software de xestión, axencia de marketing, imprenta que envía cartas con enderezos, empresa de mensaxería con acceso á túa base de datos de clientes, etc.
2. Ao revisar contratos antigos. Se asinaches cun provedor antes de 2018 ou cunha cláusula xenérica de confidencialidade que non cobre o contido esixido, ese contrato non vale tal e como está. A propia AEPD sinala que os contratos anteriores ao RGPD deben actualizarse: unha simple remisión xenérica á normativa non é suficiente.
3. Cando cambian as condicións do servizo. Se o provedor empeza a tratar datos que antes non trataba, ou cambia o país onde os aloxa, necesitas un contrato novo ou unha addenda; non abonda co antigo.

Non fai falta asinalo con todos os teus provedores: só cos que tratan datos persoais por conta túa. Un provedor de papel de oficina non necesita este contrato; o teu programa de facturación con acceso aos datos dos teus clientes, si.

Con quen o asinas (e con quen non)?

Asínalo con calquera empresa que trate datos persoais seguindo as túas instrucións, sen decidir ela o motivo nin os medios do tratamento. Exemplos habituais nunha peme:

• A túa xestoría ou asesoría, cando leva as túas nóminas, a túa contabilidade ou as túas altas e baixas de persoal.
• O teu provedor de hosting ou de software (facturación, CRM, reservas, ERP) se ese software garda datos dos teus clientes ou empregados.
• A túa axencia de marketing ou de email marketing, se lle pasas listas de contactos.
• O teu informático ou provedor de soporte técnico, se ten acceso remoto aos teus sistemas con datos persoais.
• Empresas de destrución de documentación, mensaxería con acceso a datos, centros de chamadas, xestores de nóminas externos.

Non o asinas con quen decide pola súa conta para que usa os datos: iso xa non é un encargado, é outro responsable do tratamento (por exemplo, un organismo público ao que envías datos por obriga legal, ou un socio con quen compartes clientes en igualdade de condicións). Tampouco fai falta con provedores que non tocan datos persoais en ningún momento.

Un caso que se pasa por alto: a túa propia xestoría, cando xestiona as túas nóminas ou a túa contabilidade, é un encargado do tratamento respecto dos teus datos de empregados. O art. 28 non fai excepcións por tipo de provedor: aplícase igual a unha xestoría que a unha empresa de hosting.

Que ten que incluír o contrato como mínimo?

O art. 28.3 do RGPD fixa un contido mínimo obrigatorio. Non é unha lista orientativa: se falta algún destes puntos, o contrato non cumpre. Ten que recoller:

1. O obxecto, a duración, a natureza e a finalidade do tratamento, o tipo de datos e as categorías de persoas afectadas.
2. Que o provedor só trata os datos seguindo as túas instrucións por escrito — nunca por iniciativa propia (art. 28.3.a).
3. Que todo o persoal do provedor que vexa os datos se compromete á confidencialidade (art. 28.3.b e art. 5 da LOPDGDD, que ademais fai que ese compromiso se manteña aínda que a persoa deixe de traballar alí).
4. Que o provedor aplica medidas de seguridade adecuadas (art. 28.3.c e art. 32 RGPD).
5. As condicións para que o provedor poida subcontratar outra empresa (subencargados) — vémolo no seguinte apartado.
6. Que o provedor che axuda cando alguén che pide ver, corrixir ou borrar os seus datos (art. 28.3.e).
7. Que o provedor che avisa se detecta un fallo de seguridade, para que poidas cumprir o prazo de 72 horas ante a AEPD (art. 28.3.f e art. 33 RGPD).
8. Que pasa cos datos ao rematar o contrato: o provedor bórraos ou devólvechos, ti escolles (art. 28.3.g).
9. Que o provedor che facilita a información necesaria para demostrar que cumpre, e permite auditorías (art. 28.3.h).
10. Que o contrato consta por escrito, incluído o formato electrónico (art. 28.9).

É un contrato por provedor, non un xenérico para todos: cada empresa trata datos distintos, con finalidades distintas. A AEPD publica un modelo de cláusulas orientativo que podes usar como referencia de partida (ver fontes).

Que pasa se o teu provedor subcontrata outra empresa?

É habitual: o teu hosting usa á súa vez un centro de datos doutra empresa, ou a túa xestoría subcontrata o envío de nóminas a unha xestoría de nóminas especializada. O RGPD permíteo, pero cunha condición clara: o provedor necesita a túa autorización previa por escrito, xeral ou específica, antes de subcontratar (art. 28.2 RGPD).

• Autorización xeral: aceptas que o provedor poida usar subencargados con certas condicións, e el avísate dos cambios para que poidas oporte.
• Autorización específica: aprobas cada subencargado un por un, antes de que empece a tratar datos.

En calquera caso, o provedor segue sendo o responsable fronte a ti de que ese subencargado cumpra as mesmas obrigas ca el. Se o teu provedor subcontrata sen dicircho ou sen a túa autorización, está incumprindo o contrato.

Que pasa se non o asinas?

A AEPD (Agencia Española de Protección de Datos) é quen vixía isto en España. Pode pedir explicacións, ordenar cambios ou, nos casos máis graves, impoñer unha sanción. O RGPD fixa os máximos posibles en dous niveis: ata 10 millóns de euros ou o 2 % da facturación mundial anual, e ata 20 millóns ou o 4 %, segundo a infracción (art. 83 RGPD); aplícase a cifra máis alta das dúas.

Na práctica esas cifras son o teito legal, non o habitual: a sanción gradúase segundo a gravidade, o tamaño do negocio e se colaboraches. O máis frecuente, se che falta este contrato, non é a multa en si, senón que cho descubran no medio doutra revisión (por exemplo, tras unha reclamación dun cliente ou unha brecha de seguridade) e teñas que regularizar a présa e sen marxe. Por iso cómpre telo feito con calma, non cando xa hai un problema enriba.

Como o asinas na práctica?

1. Fai unha lista dos teus provedores que tratan datos persoais: hosting, software, xestoría, marketing, soporte técnico, mensaxería con acceso a datos.
2. Para cada un, redacta ou usa un modelo que recolla os 10 puntos do apartado anterior, adaptado ao que fai exactamente ese provedor cos teus datos.
3. Envíallo para que o asine. Moitos provedores grandes (hosting, software) xa teñen o seu propio modelo: revisa que cubra os puntos mínimos antes de asinalo tal cal.
4. Garda a copia asinada polas dúas partes no cartafol dese provedor, mentres dure a relación e uns anos máis, por se tes que demostrar que cumprías a lei.
5. Se cambias de provedor ou cambian as condicións do servizo, fai un contrato novo: o antigo arquívase como proba do que estaba en vigor no seu momento.

Tranquilia xera este contrato automaticamente para cada provedor que dás de alta no teu dossier, coas 8 cláusulas obrigatorias do art. 28.3 xa incluídas e listo para enviar a asinar por correo electrónico. Podes probalo con ata 2 empresas, con todas as funcións activas, sen tarxeta e sen límite de tempo — é o plan gratuíto, non unha demo recortada.

Preguntas frecuentes

Necesito un contrato distinto para cada provedor? Si. Cada provedor trata datos distintos, cunha finalidade e unha duración distintas. Un contrato xenérico para todos non cumpre o art. 28.3, que esixe detallar o obxecto e a natureza do tratamento en cada caso.

Vale un contrato asinado antes de 2018? Non, se só fai unha remisión xenérica á normativa de protección de datos. A AEPD sinala que eses contratos deben adaptarse ao contido esixido polo art. 28 RGPD; unha cláusula antiga de confidencialidade non abonda.

A miña propia xestoría ten que asinalo comigo? Si, se trata datos dos teus empregados ou clientes por conta túa (nóminas, contabilidade, altas e baixas). O art. 28 non exime as xestorías: son un encargado do tratamento coma calquera outro provedor.

Pode o provedor asinar e logo subcontratar sen avisarme? Non. Necesita a túa autorización previa por escrito, xeral ou específica, antes de subcontratar outra empresa (art. 28.2 RGPD). Se o fai sen avisar, incumpre o contrato.

Onde teño que gardar o contrato asinado? No cartafol dese provedor, mentres dure a relación comercial e uns anos máis, para poder demostrar que cumprías a lei se cho piden.

Fontes oficiais

• Reglamento (UE) 2016/679 (RGPD), artigo 28 (e art. 83, sancións) — texto consolidado en EUR-Lex.
• AEPD — «Responsable y encargado del tratamiento», preguntas frecuentes.
• AEPD — «¿Cuál sería el contenido del contrato de encargo de tratamiento?»
• AEPD — Modelo de cláusulas para contratos entre responsables y encargados del tratamiento (PDF).
• BOE — Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), artigo 5 (deber de confidencialidade).

---

Informe de contido elaborado con fontes oficiais verificadas — non constitúe unha certificación oficial nin un ditame xurídico. Se tes dúbidas sobre un caso concreto, consulta coa túa xestoría ou cun profesional do dereito.

Queres ver como se xera este contrato automaticamente para cada un dos teus provedores? Consulta a guía para asesorías e xestorías ou revisa o plan gratuíto.