Encargado de tratamiento: el contrato RGPD que olvidas firmar con tus proveedores
Tu gestoría, tu herramienta de email marketing, tu hosting web: todos ellos tratan datos personales de tus clientes o empleados por cuenta tuya. Y para casi todos, hay un documento obligatorio que la mayoría de pymes nunca ha firmado.
Qué es un contrato de encargado de tratamiento
Un contrato de encargado de tratamiento es el documento que el RGPD exige firmar entre tu empresa (responsable de los datos) y cualquier proveedor externo que trate esos datos personales por cuenta tuya (encargado del tratamiento), regulando qué puede y no puede hacer ese proveedor con la información, y qué garantías de seguridad debe ofrecer.
Sin este contrato, tu empresa está cediendo datos personales de clientes o empleados a un tercero sin la cobertura legal exigida —independientemente de que ese proveedor sea de total confianza o lleve años trabajando contigo.
Con qué proveedores necesitas este contrato
- Gestoría o asesoría que gestiona nóminas y datos fiscales — ver ciberseguridad para asesorías y gestorías.
- Herramientas de email marketing donde subes la lista de contactos de clientes.
- Hosting y proveedores tecnológicos que alojan tu web y, con ella, cualquier formulario o base de datos de clientes.
- CRM en la nube donde gestionas el histórico de clientes y sus datos de contacto.
- Cualquier servicio SaaS que trate datos personales en tu nombre, por pequeño que parezca el volumen de datos.
Qué debe incluir el contrato, como mínimo
- Objeto y duración del tratamiento encomendado, y finalidad concreta.
- Tipo de datos y categorías de interesados afectados por el servicio.
- Obligaciones del encargado: tratar los datos solo según las instrucciones documentadas del responsable, garantizar confidencialidad, y aplicar medidas de seguridad adecuadas.
- Notificación de incidentes: el proveedor debe informarte sin dilación indebida si sufre una filtración que afecte a tus datos.
- Condiciones para subcontratar a otros proveedores (subencargados), si aplica.
- Qué ocurre con los datos al finalizar el contrato: devolución o eliminación, según se acuerde.
El escenario que revela el problema: tu proveedor de email marketing sufre una filtración de su base de datos, que incluye la lista de tus clientes que subiste tú. Sin contrato de encargado de tratamiento firmado, no hay claridad legal sobre qué medidas de seguridad estaba obligado a tener ese proveedor ni cómo debía notificarte el incidente —lo que complica tanto tu respuesta como tu defensa ante una posible sanción.
Cómo empezar a regularizarlo, sin agobios
No hace falta redactar cada contrato desde cero: muchos proveedores grandes ya ofrecen su propio modelo de acuerdo de tratamiento de datos, disponible normalmente en su web o previa solicitud. Lo importante es no asumir que "ya está incluido" en las condiciones generales de uso sin comprobarlo expresamente, y llevar un listado interno de qué proveedores tienen este contrato firmado y cuáles no —parte del registro de actividades de tratamiento que ya deberías tener actualizado.
¿Sabes qué proveedores de tu empresa tratan datos sin contrato firmado?
Diagnóstico gratuito de exposición y revisión básica de cumplimiento RGPD con terceros.
