Revisar Encargo de tratamiento

Es el contrato que regula la relación entre quien decide para qué se usan unos datos personales (responsable) y quien los trata por cuenta de otro (encargado), por ejemplo una empresa que gestiona la nómina o el hosting. La normativa de protección de datos exige este contrato siempre que un tercero acceda a datos personales para prestarte un servicio. Sin él, ambas partes pueden incurrir en infracciones sancionables.

Fíjate especialmente en el objeto y duración del tratamiento, las medidas de seguridad exigidas, si se permiten subencargados (otros proveedores que también tratarán los datos) y en qué condiciones, y qué ocurre con los datos al finalizar el contrato. También revisa si se prevén transferencias de datos fuera de la Unión Europea, porque eso añade requisitos adicionales. Si algo es ambiguo o genérico, conviene pedir que se concrete por escrito.

El contrato debería fijar la obligación del encargado de notificarte cualquier incidente de seguridad en un plazo breve, normalmente 24-72 horas. Si el encargado no te avisa a tiempo, puedes verse perjudicado tú como responsable ante las autoridades, aunque el fallo técnico sea del proveedor. Por eso es importante que esa cláusula de notificación esté clara y con plazos concretos antes de firmar.

Sí, siempre que un proveedor externo trate datos personales por tu cuenta, como una gestoría, una plataforma de email marketing o un servicio de almacenamiento en la nube. No firmarlo no elimina la obligación, solo te deja sin cobertura legal si algo falla. Es recomendable revisar antes de firmar qué proveedores necesitan este contrato y cuáles no.

Sí puedes negociarlo, aunque muchas empresas grandes ofrecen modelos estándar poco flexibles. Aun así, puedes pedir aclaraciones, añadir anexos con medidas de seguridad concretas o exigir cambios en plazos de notificación de incidentes. Si el documento es complejo o tienes dudas sobre su alcance, conviene que lo revise un abogado especializado en protección de datos antes de firmarlo.