Cesión de datos a terceros: cuándo es legal y cuándo no

Las empresas comunican datos personales todos los días. Lo hacen al enviar información a una asesoría, tramitar un pago, contratar almacenamiento en la nube, compartir datos con una aseguradora o atender un requerimiento administrativo. Sin embargo, no toda intervención de un tercero constituye una cesión en sentido jurídico, ni toda comunicación necesita consentimiento. La legalidad depende de la finalidad, la base jurídica, el papel de cada participante y las garantías aplicadas.

Distinguir correctamente entre responsable, corresponsable y encargado del tratamiento evita uno de los errores más frecuentes en cumplimiento. También permite saber qué contrato debe firmarse, qué información debe facilitarse, quién atiende los derechos, cómo se gestionan las brechas y si existe una transferencia internacional.

Contexto operativo y técnico

Existe comunicación de datos cuando una organización revela o pone información personal a disposición de otra entidad que la recibe para un tratamiento propio o dentro de un marco de corresponsabilidad. Por ejemplo, una empresa comunica datos a una aseguradora que determina sus propias finalidades, o a una Administración en cumplimiento de una obligación legal.

En cambio, cuando un proveedor accede a datos únicamente para prestar un servicio siguiendo instrucciones documentadas, normalmente actúa como encargado del tratamiento. Es el caso habitual de una asesoría laboral, un proveedor cloud, una empresa de mantenimiento informático o una plataforma de gestión contratada por el responsable. El acceso del encargado no debe confundirse con una comunicación libre a un tercero: está limitado por el contrato y por las instrucciones del responsable.

Los flujos pueden involucrar datos identificativos, económicos, laborales, comerciales, de navegación, imágenes, grabaciones o categorías especiales. Pueden producirse mediante correo electrónico, aplicaciones SaaS, interfaces API, CRM, ERP, plataformas de marketing, herramientas de firma, pasarelas de pago, soluciones de inteligencia artificial o servicios alojados fuera del Espacio Económico Europeo. Cada componente puede introducir subencargados, accesos remotos, duplicación de datos o tratamientos secundarios.

Beneficios y oportunidades

Compartir datos de forma lícita permite ejecutar contratos, cumplir obligaciones legales, coordinar servicios y acceder a capacidades especializadas. Una asesoría puede gestionar nóminas; una empresa de mensajería puede entregar un pedido; una pasarela puede procesar un pago; un proveedor tecnológico puede alojar una aplicación. Estas operaciones pueden mejorar eficiencia, continuidad, seguridad y experiencia de usuario.

La externalización también puede reforzar el cumplimiento cuando el proveedor dispone de mejores controles técnicos, certificaciones o equipos especializados. No obstante, el beneficio solo se materializa si el responsable selecciona al proveedor con diligencia, limita los datos, controla accesos, documenta instrucciones y supervisa el servicio. Delegar una operación no significa delegar toda la responsabilidad.

Riesgos principales

El primer riesgo es jurídico: comunicar datos sin base de legitimación, con información insuficiente o para una finalidad incompatible. El segundo es organizativo: no conocer qué proveedores acceden a los datos, qué subencargados utilizan o dónde se alojan. El tercero es técnico: permisos excesivos, credenciales compartidas, ausencia de cifrado, errores de configuración o respuestas tardías ante incidentes.

También puede existir dependencia de proveedores, pérdida de trazabilidad y dificultad para atender derechos. Si el tercero entrena modelos de IA con datos del cliente o reutiliza información para analítica propia, puede dejar de actuar como mero encargado. En categorías especiales, menores, trabajadores o personas vulnerables, el impacto puede aumentar significativamente.

Estas valoraciones son orientativas y deben ajustarse a la naturaleza, alcance, contexto y finalidades de cada tratamiento.

Análisis jurídico aplicable

RGPD y LOPDGDD

El RGPD exige identificar al responsable y a los posibles encargados o corresponsables. El responsable determina los fines y medios esenciales; el encargado trata datos por cuenta del responsable; la corresponsabilidad aparece cuando varias entidades determinan conjuntamente las finalidades y medios. La denominación contractual no prevalece sobre la realidad de las operaciones.

Toda comunicación entre responsables necesita una base jurídica del artículo 6 del RGPD. El consentimiento puede ser adecuado en algunos casos, pero no es universal. También pueden aplicarse la ejecución de un contrato, una obligación legal, intereses vitales, una misión de interés público o el interés legítimo. Cuando se tratan categorías especiales debe concurrir además una excepción del artículo 9. La base elegida debe corresponder a la finalidad real y no utilizarse como justificación genérica.

El deber de transparencia obliga a informar sobre destinatarios o categorías de destinatarios y, cuando los datos no se obtienen directamente, sobre su procedencia y demás extremos del artículo 14. La comunicación debe respetar minimización y limitación de finalidad: no deben enviarse expedientes completos cuando bastan unos pocos datos.

Si el tercero actúa como encargado, la relación debe formalizarse mediante contrato o acto jurídico. Debe regular objeto, duración, naturaleza, finalidad, categorías de datos e interesados, instrucciones, confidencialidad, seguridad, subencargados, asistencia en derechos, brechas, EIPD, devolución o supresión y auditorías. Un contrato genérico que no refleja el servicio real puede ser insuficiente.

La organización debe integrar estos flujos en su registro de actividades, definir conservación y supresión, controlar accesos, gestionar derechos y documentar decisiones. La designación de Delegado de Protección de Datos depende de los supuestos del RGPD y de la LOPDGDD; no nace por cualquier cesión aislada.

Evaluación de Impacto relativa a la Protección de Datos

Una EIPD no es obligatoria por el simple hecho de comunicar datos. Puede ser claramente necesaria si la operación forma parte de un tratamiento que probablemente entrañe alto riesgo: evaluación sistemática con efectos significativos, observación a gran escala, categorías especiales a gran escala, combinación de bases, tecnologías innovadoras o colectivos vulnerables. Será recomendable cuando exista un ecosistema complejo de terceros, múltiples finalidades o una elevada dificultad para que las personas controlen sus datos.

La decisión debe documentarse. Si la EIPD concluye que persiste un alto riesgo que no puede mitigarse razonablemente, debe valorarse la consulta previa a la autoridad de control antes de iniciar el tratamiento.

Reglamento Europeo de Inteligencia Artificial

Cuando un tercero utiliza un sistema de IA, debe determinarse si actúa como proveedor, responsable del despliegue u otro operador y si los datos se usan únicamente para prestar el servicio o también para desarrollar o mejorar modelos. El Reglamento (UE) 2024/1689 se aplica con un calendario progresivo: determinadas disposiciones ya son aplicables y la aplicación general comienza el 2 de agosto de 2026, con excepciones específicas. No todo sistema es de alto riesgo; la clasificación depende de la finalidad y del supuesto previsto en la norma.

Aunque el sistema no sea de alto riesgo, pueden resultar relevantes la alfabetización en IA, la transparencia, la supervisión humana, la calidad de los datos, la trazabilidad y la ciberseguridad. Desde el RGPD deben revisarse además perfiles, decisiones automatizadas, compatibilidad de finalidades y minimización de los datos introducidos en la herramienta.

NIS2, ENS y ciberseguridad

NIS2 no se aplica a toda empresa que comparta datos. Su ámbito depende del sector, tamaño y calificación de la entidad, además de la normativa española de transposición vigente. Cuando sea aplicable, la seguridad de la cadena de suministro, la gestión de incidentes, la continuidad, la autenticación multifactor y la responsabilidad de los órganos de dirección adquieren especial relevancia. Incluso fuera de su ámbito, estos controles constituyen buenas prácticas sólidas.

El Esquema Nacional de Seguridad puede resultar aplicable a entidades del sector público y a determinados proveedores que prestan servicios o soluciones a estas entidades. En tal caso, la selección y control del tercero debe alinearse con los requisitos de seguridad correspondientes.

Otras normas

La normativa laboral puede legitimar o limitar comunicaciones de datos de empleados; la LSSI-CE influye en servicios digitales y comunicaciones comerciales; las normas de consumidores exigen transparencia contractual; y la legislación sanitaria, educativa, financiera o de prevención de riesgos puede establecer comunicaciones obligatorias o salvaguardas reforzadas. También pueden intervenir secreto empresarial, propiedad intelectual y responsabilidades contractuales. Solo deben aplicarse cuando exista conexión material con el caso.

Proporcionalidad y necesidad

La existencia de una base jurídica no permite comunicar cualquier volumen de datos. Debe comprobarse que la medida es idónea para la finalidad, necesaria y equilibrada. Hay que preguntarse si puede lograrse el objetivo sin identificar a la persona, mediante datos agregados, seudonimizados o con un acceso temporal y limitado.

Medidas recomendadas por prioridad

Inmediatas

• Inventariar todas las comunicaciones, accesos y destinatarios.
• Clasificar a cada tercero como responsable, corresponsable, encargado o subencargado.
• Verificar la base jurídica y la información facilitada.
• Revocar accesos innecesarios y aplicar mínimo privilegio.
• Detener flujos sin finalidad o documentación suficiente.

Corto plazo

• Actualizar contratos de encargo y acuerdos de corresponsabilidad.
• Homologar proveedores mediante cuestionarios y evidencias de seguridad.
• Revisar transferencias internacionales y ubicaciones de tratamiento.
• Establecer un procedimiento de altas, cambios y bajas de proveedores.
• Formar a compras, RR. HH., marketing, tecnología y administración.

Medio plazo

• Auditar proveedores críticos y subencargados.
• Integrar privacidad desde el diseño en contratación y proyectos.
• Implantar indicadores de accesos, incidentes y revisiones.
• Evaluar EIPD cuando el riesgo lo requiera.
• Realizar simulacros de incidentes con participación de terceros.

Escenarios prácticos

El escenario puede cambiar si aumenta el volumen, aparecen nuevas finalidades, se incorporan datos sensibles, el tercero utiliza información para entrenar modelos o se añaden países y subencargados no previstos.

Lista de comprobación

1. Identificar con precisión el flujo de datos.
2. Definir finalidad y necesidad.
3. Determinar el rol de cada entidad.
4. Seleccionar y documentar la base jurídica.
5. Comprobar si existen categorías especiales.
6. Informar sobre destinatarios y finalidades.
7. Aplicar minimización.
8. Formalizar contrato o acuerdo adecuado.
9. Controlar subencargados.
10. Revisar ubicación y transferencias internacionales.
11. Evaluar seguridad, cifrado y MFA.
12. Definir conservación, devolución y supresión.
13. Establecer atención de derechos.
14. Regular brechas e incidentes.
15. Valorar la necesidad de EIPD.
16. Conservar evidencias de supervisión.
17. Formar al personal.
18. Revisar periódicamente la relación.

Conclusión

La cesión de datos es legal cuando existe una finalidad legítima y determinada, una base jurídica válida, transparencia suficiente, minimización y seguridad. Técnicamente, el punto más crítico es conservar el control sobre accesos, subencargados y ubicaciones. El principal riesgo es que el receptor utilice los datos para finalidades no previstas o que el responsable desconozca la cadena real de tratamiento. La medida prioritaria es elaborar un mapa de terceros y recalificar cada relación conforme a su funcionamiento efectivo.

#ProtecciónDeDatos #RGPD #LOPDGDD #Privacidad #Ciberseguridad #GestiónDeProveedores #Cumplimiento #sipylopd #SIPY