Proveedores y encargados del tratamiento RGPD en Málaga

¿Qué es un encargado del tratamiento y por qué importa identificarlo?

Un encargado del tratamiento es una persona o entidad que trata datos personales por cuenta de un responsable. No es una etiqueta comercial ni una cláusula que pueda elegirse libremente: depende de quién determina las finalidades del tratamiento, quién decide sus medios esenciales y quién actúa siguiendo instrucciones. El artículo 4.8 y el artículo 28 del RGPD regulan esta figura.

Cuando una empresa confía su nómina a una aplicación, almacena datos de clientes en un servidor de terceros o contrata mantenimiento informático con acceso a bases de datos, puede existir un encargo del tratamiento. Es preciso estudiar la prestación concreta, los datos afectados y las facultades reales del proveedor, incluso si el contrato mercantil se limita a mencionar «servicios tecnológicos».

Clasificar correctamente la relación determina qué obligaciones documentar, si se necesita un contrato de encargo, cómo gestionar subcontrataciones y qué controles aplicar. También evita otro error habitual: exigir el mismo documento a cualquier proveedor simplemente porque se tiene una factura suya.

Responsable, encargado, corresponsable y destinatario: diferencias esenciales

El responsable decide para qué se tratan los datos y los medios esenciales. El encargado ejecuta operaciones por su cuenta y bajo instrucciones. Puede existir corresponsabilidad cuando dos entidades determinan conjuntamente fines y medios esenciales; en ese caso debe estudiarse el artículo 26, no sustituirlo automáticamente por un contrato del artículo 28.

Un destinatario es quien recibe una comunicación de datos, sea o no tercero. Y un proveedor puede actuar como responsable independiente para una finalidad propia, aunque en otra parte de su servicio actúe como encargado. Por ejemplo, ciertas plataformas tratan información para prestar el servicio al cliente empresarial y también procesan determinados datos para obligaciones propias.

• Una empresa decide usar un CRM para gestionar clientes: normalmente es responsable de ese tratamiento.
• El CRM que almacena los datos bajo las instrucciones de la empresa puede ser encargado.
• Una administración pública que recibe declaraciones por obligación legal no es, por ello, encargada de la empresa declarante.

La clasificación exige revisar los hechos, no quedarse en la denominación del contrato. Las Directrices 07/2020 del CEPD ayudan a realizar esta distinción funcional.

No todo proveedor es encargado: cuándo no hace falta el contrato del artículo 28

Un proveedor de papel, una empresa que vende un equipo sin acceder a datos personales o un transportista que actúa bajo sus propias obligaciones no se convierte automáticamente en encargado. La contratación de un producto o servicio no basta por sí sola. Tampoco basta la posibilidad puramente abstracta de encontrarse con datos: hay que valorar la naturaleza del servicio, la exposición previsible y las facultades que se otorgan.

Un técnico que interviene sobre un equipo sin acceder ni estar autorizado a acceder a datos personales puede encontrarse en una situación distinta del proveedor que administra remotamente un servidor que contiene ficheros de clientes. La actividad debe documentarse de acuerdo con el riesgo real; cuando existe acceso potencial estructural por las funciones de mantenimiento, hay que analizar seriamente si es un encargo aunque el proveedor afirme que «nunca mira los archivos».

La recomendación es inventariar primero el servicio y su flujo de datos. Solo después se determina el rol jurídico, el contrato necesario y las medidas de seguridad.

Cómo hacer un inventario real de proveedores con acceso a datos personales

La primera fase consiste en elaborar un inventario que refleje las herramientas y las personas externas que intervienen de verdad en los tratamientos. Debe incluir contratos firmados, servicios gratuitos, cuentas corporativas, herramientas añadidas por departamentos y proveedores antiguos que todavía conservan credenciales.

• Nombre jurídico, servicio prestado, responsable interno y persona de contacto.
• Tratamientos y categorías de datos: clientes, empleados, pacientes, alumnos, usuarios o proveedores.
• Acceso, almacenamiento o transmisión de la información; sistemas y localización aproximada.
• Papel jurídico por finalidad: encargado, responsable independiente, corresponsable o sin tratamiento de datos.
• Contrato aplicable, fecha de revisión, subencargados conocidos, plazos de eliminación y evidencias de seguridad.

Este inventario facilita la elaboración y actualización del RAT y permite detectar conexiones que no aparecen en una revisión meramente documental. Una empresa puede tener todos sus ordenadores en Málaga y, aun así, enviar copias, correos, reservas o estadísticas a varios servicios externos.

Contrato de encargo de tratamiento: cuándo es obligatorio y cómo formalizarlo

Cuando un tercero trata datos personales por cuenta de la empresa, el artículo 28 exige un contrato u otro acto jurídico vinculante por escrito, incluido formato electrónico. Debe establecer condiciones concretas para ese servicio. No basta con un «acuerdo RGPD» genérico si no identifica las operaciones y las obligaciones relevantes.

Puede incorporarse como anexo al contrato de servicios, como acuerdo independiente de tratamiento o mediante condiciones vinculantes del proveedor, siempre que cumpla los requisitos normativos. En grandes plataformas es habitual que el proveedor ofrezca su propio DPA (Data Processing Agreement); corresponde a la empresa revisar si cubre el uso real del servicio y guardar evidencia de la versión aceptada.

El contrato no sustituye las demás obligaciones: no legaliza por sí solo un tratamiento sin base jurídica, no elimina la necesidad de informar a los interesados y no excusa la falta de seguridad. Debe reflejar una relación real que la empresa pueda supervisar.

Qué debe contener un contrato del artículo 28 del RGPD

El acuerdo debe definir objeto, duración, naturaleza y finalidad del tratamiento; tipo de datos personales; categorías de interesados; derechos y obligaciones del responsable. También ha de precisar que el encargado seguirá instrucciones documentadas, incluso para transferencias internacionales salvo obligación legal aplicable.

• Compromisos de confidencialidad del personal autorizado y medidas de seguridad del artículo 32.
• Condiciones para recurrir a subencargados y para informar de sus cambios.
• Asistencia al responsable en el ejercicio de derechos, evaluaciones de impacto y consultas cuando corresponda.
• Comunicación de brechas de datos personales sin dilación indebida y cooperación para gestionarlas.
• Devolución o supresión de datos al finalizar el servicio, salvo conservación exigida por ley.
• Información necesaria para demostrar cumplimiento y permitir auditorías o inspecciones en los términos del RGPD.

La guía de la AEPD sobre contratos con encargados desarrolla estas condiciones. Es recomendable acompañar el clausulado de un anexo funcional con sistemas, operaciones, contactos y medidas adecuadas al riesgo.

Instrucciones documentadas: qué puede hacer el proveedor con los datos

El encargado debe actuar según instrucciones documentadas del responsable. No puede reutilizar una base de clientes para sus campañas, entrenar un modelo con los registros de la empresa ni ampliar la finalidad por iniciativa propia, salvo que exista una justificación jurídica distinta aplicable a ese tratamiento y se analice la responsabilidad correspondiente.

Las instrucciones pueden estar repartidas entre contrato, anexos, órdenes de trabajo y procedimientos. Conviene especificar quién puede autorizarlas, cómo se registran los cambios y qué ocurre si una petición del cliente parece contraria al RGPD. El encargado debe informar al responsable si considera que una instrucción vulnera la normativa, en los términos del artículo 28.3.

En servicios informáticos, una instrucción puede ser restaurar una copia de seguridad, conceder acceso a un usuario autorizado o migrar datos a otro servidor. Lo que no debe hacerse es permitir el acceso indefinido a cualquier fichero «por comodidad» ni enviar datos a plataformas no aprobadas.

Elegir proveedores con garantías suficientes: comprobaciones antes de contratar

El artículo 28.1 obliga al responsable a elegir únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas adecuadas. No significa exigir a todas las pymes la misma auditoría exhaustiva: el análisis debe ajustarse a los datos tratados y al riesgo.

Antes de contratar, conviene solicitar información sobre autenticación, cifrado, segregación de clientes, registros, copias, continuidad, control de personal, gestión de vulnerabilidades, brechas, subcontratistas y salida del servicio. Certificaciones reconocidas y códigos de conducta aprobados pueden aportar evidencias, pero no sustituyen la evaluación del alcance del servicio.

Si un proveedor tratará datos de salud, expedientes laborales, credenciales o bases de clientes de gran volumen, el nivel de exigencia será mayor. El análisis de riesgos del tratamiento debe justificar por qué las garantías contratadas son proporcionadas.

Subencargados: proveedores que el proveedor contrata por su cuenta

Un proveedor cloud puede utilizar centros de datos externos, una herramienta de soporte, redes de entrega de contenidos o servicios de supervisión. Cuando estos terceros tratan datos personales por cuenta del encargado principal, hablamos de subencargados.

El artículo 28 exige autorización previa por escrito, específica o general, del responsable. Si la autorización es general, el encargado debe comunicar los cambios previstos en nuevas incorporaciones o sustituciones para permitir la oposición conforme al acuerdo. Además, debe imponer al subencargado obligaciones de protección de datos equivalentes a las comprometidas frente al responsable.

Para la empresa resulta útil conservar la lista de subencargados, su función, el mecanismo de notificación de cambios y las condiciones para oponerse o resolver el contrato. Aceptar una lista dinámica sin disponer de avisos ni capacidad práctica de revisión puede dificultar el control del tratamiento.

Hosting, dominio, mantenimiento web y formularios de contacto

La contratación de un dominio no implica por sí misma que su registrador sea encargado de todos los datos tratados en la web. En cambio, el alojamiento que guarda formularios, bases de datos o copias de seguridad puede tratar datos por cuenta del titular. También hay que estudiar quién recibe los mensajes enviados desde la web y dónde quedan registrados.

Si una agencia web puede acceder al panel de administración, a formularios o al CRM, es necesario analizar el acceso y sus funciones. El contrato debe cubrir, cuando proceda, las operaciones reales y no limitarse a «mantenimiento de página» sin referencia a datos personales.

Además de la relación con el proveedor, la web debe incluir información de privacidad suficiente y una gestión correcta de cookies/tecnologías cuando sea exigible. El contrato de encargado no reemplaza la política de privacidad ni el consentimiento para finalidades que lo requieran.

Correo corporativo y suites cloud: Microsoft 365, Google Workspace y similares

El correo electrónico, calendarios, documentos colaborativos y almacenamiento compartido pueden contener datos de clientes, trabajadores y proveedores. Su tratamiento puede implicar múltiples servicios y funciones: alojamiento, filtros antispam, copias, recuperación, administración, seguridad y asistencia.

La empresa debe revisar la documentación contractual aplicable al plan contratado, sus condiciones de tratamiento, el papel del proveedor en cada finalidad y sus subencargados. También debe configurar medidas propias: doble factor, permisos por usuario, cuentas administradas, retención, políticas de dispositivos y revisión de accesos.

Que una plataforma tenga servidores en la Unión Europea no permite concluir automáticamente que no existen otros accesos, transferencias o responsables independientes. Conviene revisar la arquitectura y las garantías en cada caso, incluyendo accesos de soporte y subprocesamiento.

Mantenimiento informático, soporte remoto, NAS y copias de seguridad

El mantenimiento técnico es uno de los casos en los que más errores se producen. Un contrato de soporte puede incluir administración de Windows, asistencia remota, configuración de permisos, reparación de bases de datos, recuperación de archivos, monitorización o restauración de copias. No todas las actuaciones tienen el mismo nivel de exposición de datos.

Cuando el proveedor tiene acceso autorizado y recurrente a sistemas que contienen datos personales para prestar el servicio, hay que examinar la existencia de un encargo. El acuerdo puede concretar perfiles técnicos, credenciales, acceso bajo solicitud, confidencialidad, registro de sesiones, subcontratistas y tratamiento de los soportes retirados.

Para los servicios de copias es importante documentar dónde se almacenan, quién puede descifrarlas, cómo se prueban las restauraciones, cuánto se conservan y cómo se destruyen al terminar. Los aspectos tecnológicos deben quedar conectados con las medidas técnicas y organizativas RGPD.

Gestorías, asesorías laborales, despachos y prevención de riesgos

Los proveedores de nóminas, contabilidad, asesoramiento jurídico y prevención pueden acceder a DNI, salarios, bajas, datos bancarios, accidentes y otra información muy sensible. Sin embargo, no todos deben calificarse automáticamente como encargados: es necesario distinguir cuándo realizan tareas por cuenta e instrucciones del cliente y cuándo actúan con autonomía para cumplir obligaciones legales o profesionales propias.

Una asesoría que confecciona nóminas puede desempeñar funciones de encargado en esa actividad, mientras que otros servicios especializados pueden implicar responsabilidades independientes. La evaluación debe hacerse por servicio y finalidad, no por el nombre del sector o de la empresa.

Conviene separar la documentación de trabajadores de la de clientes y revisar el canal de intercambio de archivos, permisos, retención y transmisión de datos de especial sensibilidad. El resultado se refleja en el inventario de proveedores y en el Registro de Actividades de Tratamiento cuando proceda.

CRM, ERP, facturación, reservas y plataformas sectoriales

Un comercio puede utilizar un TPV, programa de facturación, CRM, sistema de citas, gestión de inventario y proveedor de mensajería. Un despacho puede usar gestión de expedientes; una clínica, una historia clínica digital. Estos servicios no deben revisarse por separado solo desde el departamento informático: es preciso conocer su función en los procesos reales.

Preguntas clave: ¿quién puede exportar la base?, ¿qué soporte tiene el fabricante?, ¿se comparte información con integraciones?, ¿se generan perfiles?, ¿existen registros de acceso?, ¿se conservan datos después de cancelar la licencia?, ¿hay copia de seguridad recuperable?

En sistemas de reservas, conviene distinguir si la plataforma actúa por cuenta del negocio, como responsable independiente o combina papeles según sus funcionalidades. Una única cláusula no debe ocultar tratamientos para publicidad, intermediación o analítica que requieran evaluación propia.

Newsletter, analítica, campañas publicitarias y herramientas de marketing

Las agencias de marketing y las plataformas que almacenan listas de suscriptores pueden actuar como encargados en determinadas operaciones. Pero una red publicitaria, un proveedor de estadísticas o una plataforma social pueden determinar finalidades propias, por lo que la relación es más compleja. No basta con firmar un DPA para considerar lícito cualquier píxel o envío masivo.

La empresa debe revisar la legitimación de cada finalidad, origen de los contactos, mecanismos de baja, conservación, consentimiento cuando proceda y tecnologías que operan antes y después de aceptar cookies. La documentación del proveedor es solo una pieza del cumplimiento.

También se deben controlar permisos de las cuentas publicitarias y de las herramientas de email marketing: los accesos a listas de clientes no deberían mantenerse cuando finaliza la colaboración con la agencia.

WhatsApp, mensajería e inteligencia artificial: nuevos flujos de información

Una conversación de WhatsApp Business, un chatbot o una herramienta de IA generativa puede recibir nombres, citas, reclamaciones, imágenes y documentos. Antes de incorporar esas aplicaciones hay que estudiar qué datos se envían, a qué servicio, con qué cuenta y qué condiciones aplica el proveedor para ese uso concreto.

En IA, un prompt puede contener información personal incluso cuando el empleado crea que ha anonimizado el texto. Los distintos planes y servicios pueden ofrecer controles diferentes de retención, entrenamiento y administración; debe verificarse su configuración real y evitar cargar información sensible sin necesidad y evaluación previa.

Es recomendable definir herramientas aprobadas, perfiles autorizados y ejemplos de información que no debe compartirse, además de formar al personal. Cuando existen transferencias internacionales o usos propios del proveedor, no hay que suponer que todo queda cubierto con una simple cláusula de confidencialidad.

Instaladores de cámaras, grabadores y servicios de videovigilancia

La empresa que instala un equipo sin acceder a imágenes durante la prestación y la que realiza mantenimiento remoto del grabador con acceso potencial a las grabaciones no están necesariamente en la misma situación. También puede intervenir una central receptora de alarmas, una plataforma de vídeo cloud o una empresa de seguridad privada con obligaciones específicas.

El análisis debe delimitar quién decide finalidades y zonas de captación, quién puede visualizar, exportar o borrar grabaciones, cómo se registran los accesos, si existe almacenamiento remoto y qué personal está autorizado. En su caso, habrá que formalizar el encargo y controlar subcontrataciones.

La relación con el proveedor es solo una parte: consulta la página específica sobre videovigilancia y RGPD para empresas, con información sobre carteles, conservación, personal y zonas de captación.

Proveedores que tratan datos de salud o categorías especiales

Cuando un proveedor presta servicios a clínicas, centros sanitarios, gabinetes, centros de bienestar o empresas que tratan datos de salud, el riesgo puede elevarse. El contrato debe reflejar las categorías de información, las operaciones autorizadas, las limitaciones de acceso y la seguridad acorde con la sensibilidad y el contexto.

El responsable necesita una base de licitud del artículo 6 y una excepción aplicable del artículo 9 cuando trata categorías especiales. El hecho de tener un encargado y un contrato válido no reemplaza ese análisis. Tampoco convierte un centro no sanitario en establecimiento sanitario ni obliga de forma automática a nombrar DPD a cualquier actividad de pequeño tamaño: hay que analizar las condiciones concretas.

En estos entornos son especialmente relevantes los registros de acceso, compartimentación, cifrado, restauración, controles de personal y procesos de recuperación de datos tras una incidencia.

Transferencias internacionales: servidores europeos, accesos remotos y terceros países

Una transferencia internacional puede implicar la comunicación o puesta a disposición de datos personales a un destinatario situado fuera del Espacio Económico Europeo. Puede existir aunque la interfaz del proveedor esté en español o el contrato se firme con una empresa europea; es necesario analizar el conjunto de operaciones y las entidades implicadas.

Las transferencias pueden apoyarse en decisiones de adecuación de la Comisión Europea o, en otros casos, en garantías adecuadas como cláusulas contractuales tipo para transferencias internacionales, junto con las comprobaciones y medidas adicionales que correspondan. Las excepciones del artículo 49 son específicas y no deberían convertirse en la base habitual de un servicio masivo.

No hay que confundir las cláusulas del artículo 28 para responsable–encargado con las cláusulas para transferencias a terceros países del capítulo V: resuelven obligaciones distintas y pueden ser necesarias simultáneamente. Consulta los criterios de la AEPD sobre transferencias.

Seguridad de los proveedores: controles técnicos y organizativos que conviene exigir

La seguridad debe evaluarse según el artículo 32 y los riesgos para los derechos y libertades de las personas. No hay una lista universal válida para todos los encargados, pero sí ámbitos que deberían revisarse: confidencialidad, integridad, disponibilidad, capacidad de recuperación y pruebas periódicas de las medidas cuando resulte apropiado.

• Acceso individual, autenticación multifactor y privilegios mínimos.
• Cifrado de información, transmisión segura y gestión de claves cuando proceda.
• Copias de seguridad recuperables y separación de entornos.
• Registros de actividad, detección de accesos anómalos y gestión de vulnerabilidades.
• Política de dispositivos, personal autorizado y controles de proveedores externos.
• Procedimientos para incidentes, devolución o borrado verificable al terminar.

El nivel de detalle debe ser mayor cuando el encargado tiene capacidad de administrar sistemas críticos o trata información especialmente sensible. Una certificación aporta información, pero se recomienda comprobar su alcance y vigencia.

Qué ocurre si el proveedor sufre una brecha de datos personales

El encargado debe informar al responsable sin dilación indebida cuando tenga conocimiento de una brecha de datos personales. No es necesario que espere a determinar todo el impacto antes de trasladar los primeros hechos conocidos; las investigaciones pueden completarse después.

El contrato debería establecer canales de contacto, responsables, información mínima y actualizaciones. Corresponde al responsable evaluar el riesgo para las personas y decidir, cuando proceda, la notificación a la autoridad de control y la comunicación a los afectados. Si la brecha es notificable, el plazo del artículo 33 exige actuar sin dilación y, cuando sea posible, en 72 horas desde el conocimiento del responsable.

El proveedor puede colaborar en la notificación si así se ha pactado, pero esa colaboración no elimina automáticamente las obligaciones del responsable. Hemos desarrollado el proceso en la página de brechas de datos personales y AEPD.

Ejercicio de derechos: cómo debe ayudar el encargado al responsable

Una persona puede solicitar acceso, rectificación, supresión, oposición, limitación o portabilidad cuando corresponda. Aunque el dato se encuentre físicamente en una aplicación externa, la empresa responsable debe poder localizarlo y gestionarlo conforme a la normativa.

El contrato ha de prever asistencia del encargado en la respuesta a esas solicitudes. En la práctica conviene aclarar si el proveedor permite exportar datos, localizar un registro, rectificarlo, borrarlo conforme a las instrucciones y generar pruebas del resultado. También debe existir un canal para trasladar al responsable una solicitud que el proveedor reciba directamente.

Los plazos de respuesta que correspondan al responsable no quedan suspendidos porque la herramienta sea de terceros. Por tanto, las funciones técnicas y la cooperación contractual deben comprobarse antes de elegir el software.

Auditoría y evidencias: cómo demostrar que se controla al proveedor

El responsable debe poder demostrar que ha elegido y supervisa un encargado con garantías adecuadas. Esto no significa visitar físicamente todos los centros de datos; pueden utilizarse informes, certificados con alcance conocido, pruebas de configuración, documentación contractual y auditorías proporcionadas al riesgo.

Es útil conservar el contrato vigente, su anexo técnico, las listas de subencargados, las notificaciones de cambios, evidencias de evaluación, incidencias, solicitudes de derechos, controles aplicados y comprobaciones de salida. Los acuerdos deben permitir las auditorías o inspecciones exigibles por el artículo 28, incluidas las realizadas por auditor autorizado.

Cuando el proveedor no facilita información suficiente, el responsable debe valorar el riesgo residual, las alternativas y la necesidad de medidas complementarias. El principio de responsabilidad proactiva exige decidir con datos y conservar la justificación.

Cambio o baja del proveedor: devolución, supresión y continuidad del servicio

Salir de un proveedor puede ser más complejo que contratarlo. Antes de empezar debería conocerse el formato de exportación, la dependencia tecnológica, el procedimiento de migración, las copias existentes, el plazo de borrado y las necesidades de continuidad del negocio.

El artículo 28 prevé que, al concluir el servicio y a elección del responsable, el encargado suprima o devuelva los datos y elimine las copias, salvo obligación legal de conservación. Es necesario coordinar esta decisión con la preservación de información que la empresa esté obligada a mantener y con la recuperación segura de los sistemas.

Revocar credenciales, cerrar integraciones, retirar permisos de soporte y verificar la destrucción o devolución evita que una empresa siga exponiendo datos por contratos que terminaron hace años. Guardar la evidencia de cierre suele ser tan importante como el acuerdo inicial.

Relación entre proveedores, RAT, análisis de riesgos y EIPD

Los proveedores deben reflejarse en la documentación que corresponda a los tratamientos reales. El RAT describe las actividades y categorías de destinatarios, entre otros elementos; como buena práctica puede incorporar identificación de encargados y referencias a contratos para facilitar la trazabilidad.

El análisis de riesgos considera amenazas derivadas de accesos externos, errores de configuración, transferencias, interrupciones del servicio o concentración de información. Cuando un tratamiento pueda entrañar alto riesgo, debe valorarse una Evaluación de Impacto (EIPD) según el artículo 35.

No existe una obligación general de hacer EIPD por contratar cualquier proveedor cloud. Depende del tratamiento concreto y de sus riesgos. La relación de encargo debe integrarse en una gestión RGPD coherente, no tratarse como una carpeta aislada de contratos.

Pymes y autónomos de Málaga: ejemplo de inventario de proveedores

Imagina una peluquería con agenda de citas, correo corporativo, WhatsApp, asesoría laboral, cámaras y copia de seguridad externa. En una primera revisión pueden aparecer seis tipos de servicios, pero no necesariamente seis contratos de encargado. Hay que clasificar cada función y comprobar el acceso real a datos personales.

La agenda que aloja datos de clientes puede tratar información por cuenta del negocio; la asesoría laboral requiere estudio de su papel según el servicio; la empresa que vende una cámara sin visualizar imágenes puede no intervenir en el tratamiento; el mantenimiento remoto del grabador introduce otra cuestión. La mensajería puede tener condiciones específicas según el producto y uso.

El resultado útil para la pyme no es acumular firmas: es saber quién trata datos, por qué, con qué garantías, durante cuánto tiempo y qué hacer cuando algo falla.

Clínicas, centros sanitarios, asesorías y despachos: relaciones especialmente sensibles

En clínicas y gabinetes la gestión de historias, pruebas, citas o facturación puede incluir datos de salud y profesionales sujetos a deberes específicos de secreto. Un proveedor técnico puede necesitar acceso remoto al software, mientras que otros servicios actúan con autonomía normativa. Las responsabilidades deben delimitarse por proceso.

Los despachos y asesorías trabajan con documentación de nóminas, contratos, procedimientos, expedientes económicos y datos de clientes. No conviene compartir contraseñas genéricas ni entregar bases completas por correo sin medidas adecuadas. Los accesos temporales y las exportaciones deben registrarse según el riesgo.

En ambos casos, el contrato y la seguridad deberían concretar la confidencialidad, los perfiles de acceso, la conservación y el tratamiento de incidencias, además de las obligaciones sectoriales que resulten aplicables.

Errores frecuentes en contratos y gestión de proveedores

• Firmar con todos los proveedores lo mismo: se confunden papeles jurídicos y no se describe el servicio real.
• Guardar un DPA sin leerlo: se ignoran subencargados, plazos de eliminación o límites de responsabilidad.
• Creer que los servidores europeos lo resuelven todo: se omiten accesos, soporte, integraciones y otras transferencias.
• Permitir cuentas compartidas: no se puede atribuir con fiabilidad quién ha accedido a los datos.
• Olvidar proveedores gratuitos: formularios, newsletters, enlaces cloud o asistentes de IA también pueden procesar información.
• No revisar cambios de software: el inventario se queda desfasado cuando la empresa adopta una nueva herramienta.
• No preparar la salida: el proveedor conserva copias o accesos después de la baja.

Una revisión eficaz combina inventario, análisis jurídico, medidas técnicas y un responsable interno de mantener actualizada la información. El objetivo es evitar tanto la burocracia innecesaria como los accesos invisibles.

Cómo revisamos en RGPD Málaga los proveedores de una empresa

El trabajo comienza con una entrevista operativa: preguntamos qué herramientas se utilizan, quién las administra, qué datos pasan por ellas y con qué fines. Después clasificamos la relación, identificamos los tratamientos afectados y comprobamos si existe un contrato aplicable.

Revisamos las cláusulas del artículo 28, las garantías ofrecidas, los subencargados, las ubicaciones y la seguridad, estableciendo prioridades cuando el proveedor trata datos especialmente sensibles o administra sistemas críticos. Si procede, adaptamos la documentación, proponemos restricciones de acceso y conectamos los hallazgos con el RAT y el análisis de riesgos.

También orientamos sobre cambios de proveedor, incidentes y revisiones periódicas. Esta intervención puede integrarse en una adaptación RGPD de la empresa o en una revisión puntual de herramientas y contratos existentes.

Lista de comprobación antes de contratar un servicio que tratará datos

1. Identificar la finalidad empresarial y los datos personales que la herramienta necesita.
2. Determinar si actúa como encargado, responsable independiente o en otra posición.
3. Solicitar el contrato y verificar su contenido conforme al artículo 28 cuando proceda.
4. Comprobar subencargados, condiciones de cambio y países de tratamiento o acceso.
5. Evaluar garantías de seguridad y configuración realmente disponible.
6. Definir usuarios autorizados, credenciales y controles de acceso.
7. Establecer canales para derechos, brechas, incidencias y soporte.
8. Definir exportación, devolución, supresión y revocación de accesos al finalizar.
9. Actualizar el inventario, RAT, información de privacidad y análisis de riesgos cuando corresponda.

Esta lista sirve como punto de partida, no como acreditación automática del cumplimiento. Hay que adaptarla al tamaño, sector, categorías de datos y riesgos concretos de cada organización.

Normativa y recursos oficiales sobre encargados del tratamiento

Para la elaboración y actualización de esta página se han utilizado como referencia las siguientes fuentes oficiales:

• Reglamento (UE) 2016/679 (RGPD), especialmente artículos 4, 5, 26, 28, 30, 32, 33, 35 y capítulo V.
• AEPD: responsable y encargado del tratamiento.
• AEPD: directrices para contratos entre responsables y encargados.
• CEPD: Directrices 07/2020 sobre responsable y encargado.
• AEPD: garantías en transferencias internacionales.

Los supuestos de cada proveedor deben valorarse individualmente. Esta información es divulgativa y no sustituye el análisis jurídico y técnico de las relaciones concretas.