Encargo del tratamiento con proveedores: ¿qué exige en la práctica el artículo 28 del RGPD?

Es encargado del tratamiento quien trata datos personales por cuenta y siguiendo las instrucciones de un responsable del tratamiento (artículo 4, punto 8, del RGPD). Casos típicos son el alojamiento y los servicios de centro de datos, el software como servicio, el mantenimiento informático con acceso a datos o el envío de cartas y correos electrónicos por cuenta de terceros.

No hay encargo del tratamiento cuando un prestador de servicios no tiene ningún acceso a datos personales o decide él mismo sobre los fines y los medios del tratamiento.

Conforme al artículo 28, apartado 3, del RGPD, el contrato establece el objeto y la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable. En particular, el encargado se compromete a tratar los datos únicamente siguiendo instrucciones documentadas (letra a), a garantizar la confidencialidad (letra b), a tomar las medidas exigidas por el artículo 32 (letra c), a respetar las condiciones para recurrir a otros encargados (letra d), a asistir en relación con los derechos de los interesados (letra e) y con las obligaciones de los artículos 32 a 36 (letra f), a suprimir o devolver los datos al finalizar la prestación (letra g) y a poner a disposición toda la información necesaria y permitir auditorías (letra h).

El contrato debe constar por escrito, inclusive en formato electrónico (artículo 28, apartado 9). Las cláusulas contractuales tipo de la Comisión Europea pueden servir de base (Decisión de Ejecución (UE) 2021/915).

Ya antes de celebrar el contrato, el cliente debe comprobar si el proveedor ofrece garantías suficientes (artículo 28, apartado 1). Entre ellas figuran unas medidas técnicas y organizativas documentadas conforme al artículo 32, por ejemplo protección de accesos, cifrado, copias de seguridad y procedimientos de verificación periódica.

La adhesión a códigos de conducta aprobados o a mecanismos de certificación conforme al RGPD puede utilizarse como elemento para demostrar la existencia de garantías suficientes (artículo 28, apartado 5). No sustituye la comprobación en sí.

El proveedor solo puede recurrir a otros encargados con autorización previa por escrito, específica o general (artículo 28, apartado 2). En caso de autorización general, informa de cualquier cambio previsto, y el cliente puede oponerse.

Al subencargado deben imponérsele las mismas obligaciones de protección de datos; si las incumple, el proveedor sigue siendo responsable frente al cliente (artículo 28, apartado 4).

A menudo falta por completo el contrato, o se firmó una vez y nunca se volvió a revisar. Igual de frecuentes son las listas de subencargados desactualizadas, las medidas técnicas y organizativas redactadas como textos genéricos sin relación con el servicio y la falta de una regulación sobre la supresión de los datos al finalizar el contrato.

Conforme al artículo 83, apartado 4, del RGPD, las infracciones de las obligaciones del artículo 28 pueden sancionarse con multas de hasta 10 millones de euros o de hasta el 2 % del volumen de negocio total anual global, optándose por la de mayor cuantía.

El catálogo de Vendo4u pregunta por los puntos relevantes para la revisión conforme al artículo 28 (si hay un contrato de encargo del tratamiento disponible, dónde se tratan los datos, qué subencargados intervienen), y los proveedores aportan los documentos correspondientes. Los compradores ven esta información de todos los proveedores con la misma estructura y la archivan con la exportación en su propio expediente.