Cumplimiento UE 5 min de lectura
GDPR data processing agreement clauses guide audit preparation: Guía Práctica
Checklist práctico para auditar un DPA conforme al GDPR: cláusulas obligatorias, evidencias, subencargados, transferencias internacionales y vínculo con sistemas de gestión ISO.
Un acuerdo de tratamiento de datos (DPA) no es un anexo contractual más. Para equipos de ingeniería y cumplimiento, es el documento que traduce el GDPR a obligaciones verificables: quién trata qué datos, con qué finalidad, durante cuánto tiempo y con qué salvaguardas. Esta guía aborda GDPR data processing agreement clauses guide audit preparation desde una perspectiva de auditoría: qué cláusulas revisar, qué evidencias conservar y cómo demostrar control operativo.
1. Base normativa y alcance del DPA
El artículo 28 del GDPR regula la relación entre responsable y encargado del tratamiento. El DPA debe ser escrito, vincular al encargado y cubrir tanto tratamientos actuales como los que se incorporen por instrucciones documentadas. En auditoría, no basta con que el contrato exista: hay que demostrar que se aplica. El alcance debe indicar categorías de datos, finalidades, duración, ubicaciones de tratamiento y si hay transferencias internacionales. También conviene precisar qué ocurre al finalizar el servicio: devolución, supresión o conservación por obligación legal.
Cláusulas mínimas que un auditor espera ver
Un revisor experimentado busca estas categorías: objeto y duración; naturaleza y finalidad; tipo de datos personales; categorías de interesados; obligaciones y derechos del responsable; instrucciones documentadas; confidencialidad; medidas de seguridad; subencargados; asistencia al responsable; notificación de brechas; evaluaciones de impacto; supresión o devolución; auditorías y transferencias internacionales. En una revisión de GDPR data processing agreement clauses guide audit preparation, cada cláusula debe estar numerada y enlazada con un procedimiento interno o un registro. Si una cláusula no tiene evidencia asociada, el auditor la tratará como no implementada.
2. Preparación de auditoría: evidencias y trazabilidad
La auditoría no evalúa intenciones; evalúa registros. La preparación de auditoría para GDPR data processing agreement clauses guide audit preparation exige un índice maestro con la versión vigente del DPA, anexos, órdenes de tratamiento, autorizaciones de subencargados y registros de formación. Para una base detallada, consulta GDPR Data Processing Agreement Clauses: A Practical Guide. La trazabilidad debe permitir responder tres preguntas: qué se acordó, quién lo ejecutó y cuándo se verificó.
Matriz de evidencias
| Evidencia | Apartado del DPA | Responsable | Retención sugerida |
|---|---|---|---|
| DPA firmado y versionado | Cláusula 1 | Cumplimiento | Vigencia + 3 años |
| Lista de subencargados | Cláusula 7 | Compras | Vigencia + 3 años |
| Registro de instrucciones | Cláusula 3 | Operaciones | 3 años |
| Notificaciones de brecha | Cláusula 9 | Seguridad | 5 años |
| Informes de auditoría | Cláusula 12 | Auditoría interna | 5 años |
La matriz debe estar viva. Si un subencargado cambia, la evidencia anterior no desaparece: se archiva y se documenta la transición. Las fechas, versiones y firmas son datos de auditoría, no burocracia. Además, conserva correos de aprobación, tickets y actas de comité. La evidencia digital debe ser legible, íntegra y atribuible a una persona.
3. Controles operativos y documentación exigible
El DPA aterriza en controles: registro de actividades de tratamiento, gestión de accesos, cifrado, seudonimización, copias de seguridad, gestión de incidentes y borrado seguro. El control de versiones puede apoyarse en los requisitos de ISO 9001 documentation requirements guide. Si el tratamiento se integra en un producto con marcado CE, el expediente técnico puede compartir evidencias con EU CE Marking Technical File. Para cada control, define responsable, frecuencia, registro generado y criterio de aceptación. Sin criterio, no hay hallazgo objetivo. Las pruebas de seguridad, como revisiones de acceso o simulacros de incidentes, deben estar fechadas y firmadas. Si se usa un proveedor externo, el DPA debe reflejar sus obligaciones y la evidencia de supervisión.
4. Relación con ISO 9001, ISO 14001 e ISO 45001
Los sistemas de gestión no sustituyen al GDPR, pero aportan disciplina documental. ISO 9001 ayuda con el control de la información documentada y las auditorías internas. ISO 14001 aporta método para identificar obligaciones y evaluar cumplimiento. ISO 45001 refuerza la gestión de riesgos y la participación de los trabajadores. En un DPA, estas estructuras se traducen en responsabilidades claras, revisiones periódicas y acciones correctivas trazables. La integración evita duplicar registros y facilita que una auditoría de calidad, ambiente o seguridad vea el mismo hilo conductor. Para auditorías integradas, una misma acción correctiva puede cerrar un hallazgo de GDPR y otro de ISO 9001 si se documenta la causa raíz.
5. Errores frecuentes en auditorías de DPA
Los fallos más habituales son: firmar el DPA y no desplegarlo; no identificar subencargados reales; no documentar transferencias internacionales; confundir responsable y encargado; no conservar instrucciones; y no probar la formación del personal. Un programa maduro de GDPR data processing agreement clauses guide audit preparation no se limita a firmar el DPA; verifica su aplicación trimestral. También es frecuente que las cláusulas de auditoría no indiquen alcance, frecuencia, confidencialidad ni costes. Ese vacío suele convertirse en una discusión durante la revisión. La revisión debe incluir contratos con proveedores de nube, soporte y marketing, porque suelen tratar datos personales.
6. Checklist de verificación previa
- ¿Está el DPA firmado por ambas partes y con fecha?
- ¿Incluye todas las cláusulas del artículo 28 del GDPR?
- ¿Existe una lista actualizada de subencargados y autorizaciones previas por escrito?
- ¿Se documentan las instrucciones del responsable y su seguimiento?
- ¿Hay evidencias de notificación de brechas en plazo?
- ¿Se revisan las medidas de seguridad al menos una vez al año?
- ¿Se conservan informes de auditoría y planes de acción?
- ¿Están definidas las transferencias internacionales y sus garantías?
- ¿Se ha probado la formación del personal con registros verificables?
Cerrar la auditoría no significa archivar el DPA. Significa demostrar que el acuerdo vive en los procedimientos, en los registros y en las decisiones diarias. Esa es la diferencia entre cumplir formalmente y estar preparado. Documenta las no conformidades, responsables y fechas de cierre. La auditoría siguiente empieza donde terminó la anterior.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
Article 28(3) GDPR
L'article 28(3) du GDPR impose neuf catégories de clauses minimales dans le DPA.
ID del dato:
GDPR_art_28_3_clausesArticle 30 GDPR
Le registre des activités de traitement est exigé par l'article 30 du GDPR pour la plupart des organismes.
ID del dato:
GDPR_art_30_registryArticle 32 GDPR
Les mesures de sécurité doivent être conformes à l'article 32 du GDPR et documentées.
ID del dato:
GDPR_art_32_securityArticle 33 GDPR
La notification d'une violation de données au responsable doit être faite sans délai injustifié.
ID del dato:
GDPR_breach_notificationISO 9001
ISO 9001 fournit un cadre de maîtrise documentaire utile pour les preuves d'audit, sans remplacer le GDPR.
ID del dato:
ISO_9001_documentationEDPB Guidelines 07/2020
Les lignes directrices 07/2020 de l'EDPB clarifient les notions de responsable et de sous-traitant.
ID del dato:
edpb_guidelines_07_2020
Preguntas frecuentes
¿Qué cláusulas debe incluir obligatoriamente un DPA conforme al GDPR?
Debe incluir objeto, duración, naturaleza y finalidad, tipos de datos, categorías de interesados, instrucciones, confidencialidad, seguridad, subencargados, asistencia, notificación de brechas, supresión o devolución, auditorías y transferencias internacionales.
¿Cómo se demuestra en auditoría que un DPA está implementado?
Con evidencias trazables: versión firmada, registros de instrucciones, autorizaciones de subencargados, notificaciones de brecha, informes de auditoría, formación y planes de acción cerrados.
¿Qué relación tiene el DPA con ISO 9001, ISO 14001 e ISO 45001?
Los sistemas de gestión aportan control documental, evaluación de cumplimiento y gestión de riesgos. No sustituyen al GDPR, pero facilitan evidencias coherentes para auditorías integradas.
¿Cuánto tiempo conviene conservar las evidencias de auditoría del DPA?
Como referencia práctica, conserva las evidencias durante la vigencia del contrato más 3 años, salvo plazos legales específicos o riesgos que exijan una retención mayor.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
