Cumplimiento UE 5 min de lectura
Guía De GDPR data processing agreement clauses best practices Para Cumplimiento
Guía práctica para redactar y revisar un DPA conforme al Art. 28 GDPR, con cláusulas mínimas, controles de seguridad, subencargados, transferencias internacionales y checklist de auditoría.
Un acuerdo de encargo del tratamiento (DPA) no es un anexo decorativo. El artículo 28 del GDPR obliga a fijar por escrito quién decide, quién ejecuta y con qué garantías se tratan los datos personales. Aplicar GDPR data processing agreement clauses best practices exige revisar el contrato, los anexos técnicos y los flujos reales de datos. Esta guía práctica resume las cláusulas que suelen marcar la diferencia en auditorías y revisiones de proveedores, con referencias concretas al articulado. Si necesita una base documental, puede empezar por GDPR Data Processing Agreement Clauses: A Practical Guide.
Qué debe contener un DPA conforme al Art. 28 GDPR
El artículo 28.1 del GDPR permite al responsable contratar solo a encargados que ofrezcan garantías suficientes. El artículo 28.3 exige un contrato vinculante que concrete el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados. También debe detallar las obligaciones y los derechos del responsable. En la práctica, un DPA útil no copia el artículo 28.3 sin más: traduce cada apartado a procesos, responsables internos y evidencias.
Además, el DPA debe concretar si el encargado puede usar los datos para fines propios, algo prohibido salvo instrucción. También conviene fijar un procedimiento de instrucciones adicionales y un registro de actividades del tratamiento conforme al artículo 30 cuando aplique.
Cláusulas mínimas del apartado 28.3
El encargado debe: tratar los datos solo siguiendo instrucciones documentadas del responsable; garantizar la confidencialidad de las personas autorizadas; aplicar medidas de seguridad del artículo 32; respetar las condiciones para subencargados; asistir al responsable en la respuesta a derechos de los interesados; colaborar en evaluaciones de impacto y consultas previas; notificar violaciones de seguridad; y devolver o suprimir los datos al finalizar el servicio. Estas cláusulas son la base de las GDPR data processing agreement clauses best practices.
Seguridad, confidencialidad y gestión de violaciones
El artículo 28.3.c remite al artículo 32: medidas técnicas y organizativas apropiadas al riesgo. No basta con mencionar ISO/IEC 27001; hay que describir controles, cifrado, gestión de accesos, registro de actividades y pruebas de eficacia. La documentación de procesos ayuda a demostrar trazabilidad; por ejemplo, The ISO 9001 documentation requirements guide: A Practical O ofrece criterios útiles para controlar versiones y responsabilidades. La confidencialidad debe cubrir a todo el personal, no solo al equipo de TI. En caso de violación, el encargado debe notificar al responsable sin dilación indebida y permitir que este cumpla el artículo 33 del GDPR.
El DPA debe exigir formación periódica, controles de acceso basados en roles y revisión de privilegios. También conviene incluir un plan de respuesta a incidentes con contactos, plazos y evidencias. La notificación al responsable no sustituye las obligaciones del encargado ante la autoridad de control cuando actúe como responsable independiente.
Subencargados, auditorías y asistencia al responsable
El artículo 28.2 exige autorización previa por escrito para subencargados. Puede ser específica o general; si es general, debe prever información sobre cambios y derecho de objeción. El artículo 28.4 obliga a imponer al subencargado las mismas obligaciones del contrato principal. El artículo 28.3.h reconoce al responsable un derecho de auditoría e inspección. En la práctica, las GDPR data processing agreement clauses best practices incluyen ventanas de auditoría, cuestionarios anuales, planes de remediación y métricas. También cubren la asistencia en derechos de acceso, rectificación, supresión y portabilidad, y en evaluaciones de impacto.
La cláusula de auditoría debe equilibrar derechos del responsable y cargas operativas: alcance, frecuencia, confidencialidad y costes. Si el encargado presta servicios a varios clientes, un informe de auditoría independiente puede reducir fricción. Aun así, el responsable conserva la responsabilidad de verificar el cumplimiento.
Transferencias internacionales y finalización del contrato
Si el encargado o un subencargado trata datos fuera del Espacio Económico Europeo, se aplica el Capítulo V del GDPR. El DPA debe identificar transferencias, decisiones de adecuación, cláusulas contractuales tipo o garantías equivalentes. No confunda el marcado CE de un producto con el cumplimiento del GDPR; son marcos distintos. Para productos regulados, EU CE Marking Technical File: A Practical Guide ayuda a ordenar expedientes, pero el DPA sigue siendo un documento contractual de protección de datos. Al terminar el servicio, el artículo 28.3.g exige devolver o suprimir los datos, salvo obligación legal de conservarlos.
El DPA debe prever qué ocurre con copias de seguridad y datos agregados. La supresión debe ser verificable y documentada. Si la ley aplicable impide la supresión, el contrato debe indicar la base legal, el plazo y las medidas de limitación.
Lista de verificación práctica y errores frecuentes
Use esta lista para validar GDPR data processing agreement clauses best practices antes de firmar o renovar. Revise que el DPA identifique roles, finalidades, categorías de datos, duración, medidas de seguridad, subencargados, transferencias, auditoría y fin de contrato. Un error común es firmar un anexo genérico sin mapear los flujos reales. Otro es aceptar subencargados sin mecanismo de objeción. También es frecuente confundir responsable y encargado cuando ambas partes determinan fines.
Checklist mínimo antes de firmar
- Verificar que el DPA cita el artículo 28.3 del GDPR y concreta cada obligación.
- Adjuntar anexos con medidas del artículo 32 y calendario de revisiones.
- Documentar autorizaciones de subencargados y flujos de notificación.
- Definir plazos de notificación de violaciones y apoyo al responsable.
- Incluir cláusulas de transferencia internacional y auditoría.
- Prever devolución o supresión segura al finalizar.
Documente la aprobación interna: quién revisa, qué versión se firma y qué evidencias se archivan. Un repositorio único evita discrepancias entre el contrato firmado y los anexos operativos.
Un DPA bien redactado no elimina todos los riesgos, pero permite demostrar diligencia. Revise el contrato al menos cada 12 meses, ante cambios de proveedor, nuevas finalidades o modificaciones normativas. La clave está en alinear contrato, operación y evidencia.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
GDPR Article 28(3)
Pasal 28 ayat (3) GDPR menetapkan daftar minimum isi perjanjian pemrosesan data.
ID del dato:
GDPR-art-28-3GDPR Article 28(2)
Penunjukan sub-pemroses memerlukan otorisasi tertulis sebelumnya dari pengendali.
ID del dato:
GDPR-art-28-2GDPR Article 32
Kewajiban keamanan pemrosesan mengacu pada Pasal 32 GDPR.
ID del dato:
GDPR-art-3272 hours (GDPR Article 33(1))
Pemberitahuan pelanggaran data kepada otoritas pengawas dilakukan paling lambat 72 jam.
ID del dato:
GDPR-art-33-1-notificationGDPR Articles 44-49
Transfer data pribadi ke negara ketiga diatur dalam Pasal 44 sampai Pasal 49 GDPR.
ID del dato:
GDPR-art-44-49-transfersEDPB Guidelines 07/2020
Pedoman EDPB 07/2020 menjelaskan konsep controller dan processor dalam GDPR.
ID del dato:
edpb-guidelines-07-2020ISO 9001 clause 7.5
ISO 9001 klausul 7.5 mengatur informasi terdokumentasi yang dapat dipakai untuk mengendalikan versi DPA.
ID del dato:
ISO-9001-clause-7-5
Preguntas frecuentes
¿Qué cláusulas son obligatorias en un DPA?
El artículo 28.3 del GDPR enumera las cláusulas mínimas: instrucciones documentadas, confidencialidad, medidas de seguridad, subencargados, asistencia al responsable, notificación de violaciones y devolución o supresión de datos.
¿Puedo usar una plantilla estándar de DPA?
Puede servir como punto de partida, pero debe adaptarse al servicio real, a los datos tratados, a los subencargados y a las transferencias internacionales. Una plantilla sin anexos técnicos suele ser insuficiente.
¿Cada cuánto tiempo conviene revisar el DPA?
Como mínimo cada 12 meses. También debe revisarse ante cambios de proveedor, nuevas finalidades, modificaciones normativas, incidentes de seguridad o variaciones en los flujos de datos.
¿Qué obligaciones tiene el encargado sobre subencargados?
El artículo 28.2 exige autorización previa por escrito. El artículo 28.4 obliga a imponer al subencargado las mismas obligaciones de protección de datos que figuran en el contrato principal.
¿Cómo se regulan las transferencias internacionales en el DPA?
El DPA debe identificar las transferencias fuera del Espacio Económico Europeo y las garantías aplicables: decisión de adecuación, cláusulas contractuales tipo u otras previstas en el Capítulo V del GDPR.
¿Un DPA es suficiente para cumplir el GDPR?
No. El DPA es una pieza contractual necesaria, pero debe acompañarse de medidas técnicas y organizativas, registros, evaluaciones de impacto, gestión de incidentes y evidencia operativa.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
