En el mundo de la protección de datos, uno de los documentos más esenciales —y muchas veces olvidado— es el contrato de encargo de tratamiento. Si tu empresa trabaja con proveedores que manejan datos personales por tu cuenta, este contrato no es opcional: es obligatorio. Pero ¿qué es exactamente? ¿cuándo debe firmarse? ¿Y qué pasa si no lo tienes?

¿Qué es un contrato de encargo de tratamiento?

Un contrato de encargo de tratamiento es un acuerdo legal entre el responsable del tratamiento (la empresa que decide cómo y para qué se usan los datos) y el encargado del tratamiento (el proveedor que trata esos datos por encargo). La propia Agencia Española de Protección de Datos tiene publicadas guías con Directrices para la elaboración de contratos entre responsables y encargados del tratamiento. 

Este documento establece las instrucciones que debe seguir el proveedor, cómo debe proteger los datos y qué puede —y no puede— hacer con ellos. Por ejemplo, una empresa que externaliza su nómina a una gestoría está obligada a firmar este contrato con dicha gestoría.

¿Para qué sirve y cuándo se debe firmar?

Sirve para garantizar que el proveedor (encargado del tratamiento) cumple con las medidas necesarias para proteger los datos personales y no los utiliza para fines propios. Debe firmarse siempre que un proveedor acceda a datos personales por cuenta de la empresa, antes de que se inicie el tratamiento.

Algunos ejemplos habituales:

• Empresas de mantenimiento informático que acceden a sistemas con datos de clientes o empleados.
• Gestorías, asesorías o abogados que manejan información personal de trabajadores.
• Plataformas externas que gestionan campañas de marketing o newsletters.

¿Y si no lo tengo?

No contar con un contrato de encargo de tratamiento cuando es necesario supone una infracción del RGPD. La Agencia Española de Protección de Datos (AEPD) puede imponer sanciones, además de que estarás comprometiendo la seguridad y la trazabilidad de los datos tratados. No firmar este contrato es, en pocas palabras, dejar a la organización sin red de seguridad legal.

¿Y si el proveedor no accede a datos?

Hay casos en los que, aunque se contrate un servicio, el proveedor no accede a datos personales o lo hace de forma meramente ocasional, sin tratar datos de forma regular o estructurada. En estos casos, puede no ser necesario un contrato de encargo, pero sí es recomendable dejar constancia de esta relación mediante cláusulas que indiquen que no existe acceso a datos o que, si lo hubiera, será puntual y bajo obligación de confidencialidad.

¿Es un contrato de encargo de tratamiento opcional?

Resumiendo, el contrato de encargo de tratamiento no es un formalismo: es una herramienta clave para garantizar la protección de los datos y cumplir con la normativa. Firmarlo a tiempo y con los contenidos adecuados protege tanto al responsable como al encargado. Si tienes dudas sobre si tu proveedor necesita firmarlo, consúltanos cuanto antes: más vale prevenir que lamentar.