Externalizar servicios no elimina la responsabilidad de una empresa sobre los datos personales que trata. Al contrario: cuando un proveedor accede a información de clientes, trabajadores, contactos comerciales, pacientes, usuarios o cualquier otra persona física, la organización debe analizar con precisión qué papel desempeña cada parte, qué datos se compartirán y bajo qué condiciones se protegerán.

Un contrato con un proveedor no debe limitarse a una cláusula genérica de confidencialidad. Cuando el proveedor trata datos personales por cuenta de la empresa, debe formalizarse un contrato de encargo del tratamiento conforme al artículo 28 del Reglamento General de Protección de Datos y al artículo 33 de la LOPDGDD. Este documento es una pieza esencial de cumplimiento, seguridad y continuidad de negocio.

Un contrato bien diseñado protege los derechos de las personas, reduce el riesgo de incidentes, facilita la gestión de proveedores y permite demostrar diligencia ante una inspección, una reclamación o una brecha de seguridad.

Antes de firmar: identificar correctamente la relación

El primer error habitual consiste en asumir que cualquier proveedor es automáticamente encargado del tratamiento.

No siempre es así. Un proveedor puede actuar como encargado del tratamiento, cuando trata datos siguiendo instrucciones de la empresa y para prestar un servicio contratado; como responsable independiente, cuando decide sus propios fines y medios del tratamiento; como corresponsable, cuando ambas partes determinan conjuntamente fines y medios esenciales; o como simple destinatario de información, sin que necesariamente exista una relación de encargo.

Por ejemplo, una empresa de mantenimiento informático que accede a equipos con datos personales puede ser encargada del tratamiento. Un asesor laboral o fiscal puede actuar como responsable independiente respecto de determinados tratamientos exigidos por su propia actividad profesional. Una plataforma tecnológica que reutiliza datos para fines propios, análisis comerciales o entrenamiento de modelos puede no encajar en la figura de encargado.

Esta calificación debe hacerse atendiendo a la realidad de la relación, no solo a la etiqueta que figure en el contrato. Llamar “encargado” a un proveedor que toma decisiones propias sobre los datos no soluciona el problema jurídico.

Cláusula 1: objeto, duración y alcance del tratamiento

El contrato debe describir con claridad qué servicio presta el proveedor y qué tratamiento de datos necesita realizar para ejecutarlo.

• Objeto del tratamiento.
• Duración de la prestación.
• Naturaleza y finalidad del tratamiento.
• Categorías de datos personales.
• Categorías de personas afectadas.
• Operaciones que realizará el proveedor.
• Sistemas, aplicaciones, canales o ubicaciones implicadas.

No basta con frases ambiguas como “el proveedor podrá tratar los datos necesarios”. La falta de concreción dificulta controlar el servicio, limita la trazabilidad y hace más compleja la respuesta ante una incidencia.

No es lo mismo contratar una herramienta de facturación que una plataforma de recursos humanos, una solución de videovigilancia, un servicio de alojamiento web o un proveedor de inteligencia artificial. Cada servicio puede implicar categorías de datos, riesgos, accesos y medidas de seguridad distintas.

Cláusula 2: tratamiento solo siguiendo instrucciones documentadas

El proveedor debe comprometerse a tratar los datos únicamente siguiendo instrucciones documentadas de la empresa responsable, salvo que una norma aplicable le obligue a tratar los datos de otra forma.

Esta cláusula evita que el proveedor utilice la información para fines incompatibles, como campañas propias, elaboración de perfiles, cesión a terceros, analítica comercial no autorizada o entrenamiento de herramientas de inteligencia artificial.

También debe establecerse un procedimiento para documentar cambios relevantes: nuevas finalidades, ampliación de accesos, incorporación de nuevas categorías de datos, modificación de ubicaciones de alojamiento o uso de nuevas subcontratas.

En la práctica, la empresa debe poder responder a preguntas básicas: qué datos tiene el proveedor, para qué los usa, quién puede acceder, desde dónde se accede y qué ocurre cuando finaliza el servicio.

Cláusula 3: confidencialidad y gestión de accesos

El proveedor debe garantizar que las personas autorizadas para tratar los datos han asumido un compromiso de confidencialidad o están sujetas a una obligación legal equivalente.

Esta obligación debe extenderse a empleados, colaboradores, personal temporal, administradores de sistemas y cualquier tercero que pueda acceder a la información.

No es suficiente incorporar una cláusula de confidencialidad genérica. El contrato debe exigir controles reales, como:

• Accesos limitados según función y necesidad.
• Credenciales individuales y no compartidas.
• Autenticación reforzada cuando el riesgo lo requiera.
• Registro de accesos y actividades relevantes.
• Revisión periódica de permisos.
• Revocación inmediata de accesos cuando una persona deja de prestar servicios.
• Formación y concienciación del personal autorizado.

Una gran parte de los incidentes de seguridad no proviene de ataques sofisticados, sino de permisos excesivos, contraseñas débiles, errores humanos, cuentas compartidas o falta de control sobre antiguos usuarios.

Cláusula 4: medidas de seguridad proporcionales al riesgo

El artículo 32 del RGPD exige aplicar medidas técnicas y organizativas apropiadas al riesgo. Esto significa que el contrato no debe limitarse a indicar que el proveedor “cumplirá la normativa”, sino que debe concretar las medidas exigibles según el servicio.

• Cifrado de datos en tránsito y, cuando proceda, en reposo.
• Copias de seguridad protegidas y verificadas.
• Segmentación de redes y gestión segura de entornos.
• Protección frente a malware y vulnerabilidades.
• Gestión de parches y actualizaciones.
• Registro y monitorización de eventos de seguridad.
• Plan de continuidad y recuperación ante desastres.
• Pruebas periódicas de restauración.
• Procedimientos de borrado seguro.
• Control de dispositivos, soportes y accesos remotos.
• Evaluación de vulnerabilidades y pruebas de seguridad cuando resulten proporcionadas.

La proporcionalidad es clave. No todos los proveedores requieren las mismas garantías. Sin embargo, cuanto mayor sea el volumen de datos, la sensibilidad de la información, el número de personas afectadas, la dependencia tecnológica o la exposición a accesos remotos, mayor deberá ser el nivel de exigencia contractual y de supervisión.

Cláusula 5: subencargados y cadena de proveedores

Muchos proveedores utilizan a su vez servicios de alojamiento, soporte técnico, analítica, comunicaciones, copias de seguridad o infraestructura en la nube. Estas entidades pueden convertirse en subencargados del tratamiento.

El contrato debe regular expresamente si se permite la subcontratación y bajo qué condiciones. Debe establecerse:

• Autorización previa específica o autorización general escrita.
• Obligación de informar con antelación sobre nuevos subencargados o sustituciones.
• Derecho de oposición cuando exista una causa justificada.
• Obligación de trasladar al subencargado las mismas obligaciones de protección de datos y seguridad.
• Responsabilidad del proveedor principal frente a la empresa por el cumplimiento del subencargado.

La cadena de suministro digital es uno de los mayores puntos de vulnerabilidad. Una empresa puede tener controles internos robustos y, aun así, quedar expuesta si un proveedor secundario carece de medidas adecuadas.

Cláusula 6: asistencia en derechos, incidentes y cumplimiento

El proveedor debe colaborar con la empresa para atender solicitudes de derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad cuando proceda.

También debe asistir al responsable en el cumplimiento de sus obligaciones relacionadas con seguridad del tratamiento, notificación de brechas de seguridad, evaluaciones de impacto, consultas previas a la autoridad de control cuando sean necesarias, auditorías e inspecciones y aplicación de medidas de privacidad desde el diseño y por defecto.

En materia de brechas de seguridad, el contrato debe fijar un plazo de aviso breve y operativo. El RGPD obliga al responsable a valorar, en determinados casos, la notificación a la autoridad de control en un plazo máximo de 72 horas desde que tuvo conocimiento de la brecha. Por ello, esperar varios días a que el proveedor informe puede impedir una respuesta adecuada.

Debe establecerse qué información debe comunicar el proveedor: naturaleza del incidente, datos afectados, sistemas implicados, personas potencialmente afectadas, medidas adoptadas, impacto estimado y acciones previstas para contenerlo.

Cláusula 7: transferencias internacionales de datos

El proveedor no debe transferir datos personales fuera del Espacio Económico Europeo ni permitir accesos remotos desde terceros países sin autorización y sin aplicar las garantías exigidas por el RGPD.

No debe analizarse únicamente dónde están los servidores. También puede existir una transferencia internacional cuando personal de soporte, administradores o subproveedores situados fuera del Espacio Económico Europeo acceden remotamente a los datos.

El contrato debe obligar al proveedor a informar sobre ubicaciones de tratamiento, países de acceso, entidades receptoras y mecanismos jurídicos aplicables. Cuando no exista una decisión de adecuación, pueden ser necesarias cláusulas contractuales tipo y una evaluación de las circunstancias concretas de la transferencia.

En servicios cloud, software como servicio, plataformas de marketing, herramientas de inteligencia artificial o sistemas de soporte remoto, este punto requiere una revisión especialmente cuidadosa.

#sipylopd  #SIPY

Cláusula 8: devolución, supresión y conservación de los datos

Al finalizar la prestación, el proveedor debe devolver o suprimir los datos personales, a elección de la empresa, salvo que una norma exija conservarlos.

• Formato y procedimiento de devolución.
• Plazo para la entrega.
• Supresión de copias activas.
• Tratamiento de copias de seguridad.
• Emisión de certificado o evidencia de destrucción cuando resulte necesario.
• Conservación bloqueada únicamente cuando exista una obligación legal.

Este punto es especialmente relevante para evitar que los datos permanezcan indefinidamente en plataformas antiguas, cuentas de prueba, entornos de desarrollo, copias de seguridad o servicios que ya no utiliza la empresa.

¿Es obligatoria una evaluación de impacto?

La firma de un contrato con un proveedor no obliga por sí sola a realizar una evaluación de impacto en protección de datos.

Sin embargo, puede ser necesaria cuando el tratamiento previsto sea susceptible de generar un alto riesgo para los derechos y libertades de las personas. Esto puede ocurrir, entre otros supuestos, cuando se tratan categorías especiales de datos, se realiza observación sistemática, se usan tecnologías innovadoras, se efectúan perfiles con efectos relevantes, se tratan datos de menores o se produce un tratamiento a gran escala.

La evaluación debe realizarse antes de iniciar el tratamiento y debe incluir también los riesgos derivados del proveedor, los subencargados, las transferencias internacionales, los accesos remotos y las medidas de seguridad previstas.

Beneficios de un contrato de proveedor bien diseñado

• Reduce la probabilidad de usos indebidos de los datos.
• Mejora la respuesta ante incidentes.
• Facilita auditorías, inspecciones y controles internos.
• Refuerza la confianza de clientes, trabajadores y socios.
• Permite demostrar diligencia en la selección y supervisión del proveedor.
• Reduce la dependencia descontrolada de terceros.
• Favorece una gestión más madura de la ciberseguridad y la continuidad de negocio.

La privacidad no debe verse como un anexo burocrático al contrato comercial. Es un requisito de calidad, confianza y resiliencia. Un proveedor que no puede explicar cómo protege los datos, dónde los aloja, qué subcontratas utiliza o cómo actúa ante una brecha de seguridad representa un riesgo que debe evaluarse antes de contratar.

Conclusión

Los contratos con proveedores son una de las piezas más importantes de la gobernanza de datos. No basta con firmar una cláusula estándar: es necesario revisar el servicio, clasificar correctamente la relación, definir las obligaciones, exigir medidas de seguridad proporcionales y mantener una supervisión durante toda la relación contractual.

Cada organización debe adaptar estas cláusulas a su actividad, al tipo de proveedor, a los datos tratados y al riesgo real. En tratamientos complejos, internacionales, tecnológicos o de alto impacto, resulta recomendable contar con asesoramiento jurídico y de protección de datos específico.

#sipylopd  #SIPY