GDPR Data Processing Agreement Clauses Guide Clause by Clause: Guía Práctica

El artículo 28 del GDPR no admite acuerdos verbales ni plantillas genéricas. El responsable del tratamiento y el encargado deben firmar un contrato que fije instrucciones, medidas de seguridad, subencargados y derechos de auditoría. Esta GDPR data processing agreement clauses guide clause by clause desglosa las cláusulas que un auditor espera encontrar y señala los puntos donde suelen aparecer lagunas.

Qué exige el artículo 28 GDPR a un contrato de encargo

El artículo 28.3 del GDPR enumera el contenido mínimo. No basta con mencionar que se cumplirá el GDPR: hay que describir el tratamiento, su duración, la naturaleza y finalidad, los tipos de datos personales y las categorías de interesados. La GDPR Data Processing Agreement Clauses: A Practical Guide desarrolla estos elementos con ejemplos. Además, el contrato debe cubrir confidencialidad, seguridad del artículo 32, subencargados, asistencia al responsable, notificación de violaciones, auditorías y destino final de los datos.

Revisión cláusula por cláusula: GDPR data processing agreement clauses guide clause by clause

La revisión debe ser literal. Cada cláusula se contrasta con el artículo 28.3 y con el registro de actividades del tratamiento.

Objeto, duración y naturaleza del tratamiento

Defina el objeto con precisión: categorías de datos (identificativos, financieros, de salud), categorías de interesados (empleados, clientes, pacientes), finalidades (nómina, soporte, análisis) y duración (plazo fijo o hasta terminación). Evite fórmulas como «todos los datos necesarios». Si el encargado trata datos de un producto con marcado CE, alinee el contrato con el expediente técnico del EU CE Marking Technical File: A Practical Guide.

Instrucciones documentadas y confidencialidad

El encargado solo actúa siguiendo instrucciones documentadas del responsable. El contrato debe indicar cómo se emiten, modifican y registran esas instrucciones. Si el encargado considera que una instrucción infringe el GDPR, debe informar de inmediato. La confidencialidad se extiende a todo el personal autorizado, con obligaciones que sobrevivan al contrato.

Seguridad, subencargados y transferencias

Las medidas del artículo 32 GDPR deben ser concretas: cifrado en tránsito y en reposo, control de acceso, seudonimización, copias de seguridad, registro de eventos y pruebas de seguridad. Para subencargados, exija autorización previa por escrito, lista actualizada, flujo de responsabilidad y contrato equivalente. Si hay transferencias internacionales, identifique el mecanismo: decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes.

Derechos de los interesados, violaciones y auditoría

El encargado debe asistir al responsable en el acceso, rectificación, supresión, limitación, portabilidad y oposición. También debe notificar violaciones de seguridad sin dilación indebida; fije un plazo interno que permita al responsable cumplir las 72 horas del artículo 33 GDPR. El derecho de auditoría debe incluir acceso a instalaciones, registros y personal, con un procedimiento razonable y confidencialidad sobre la información consultada.

Devolución, supresión y responsabilidad

Al terminar el contrato, el encargado devuelve o suprime los datos personales, salvo que una norma exija conservarlos. La cláusula debe aclarar el formato, los plazos y la certificación de borrado. En responsabilidad, distribuya indemnizaciones, seguros y notificación de reclamaciones. Recuerde que el artículo 82 GDPR permite reclamaciones directas contra el encargado.

Errores frecuentes en la redacción de cláusulas DPA

Los auditores encuentran fallos repetidos:

• Cláusulas de seguridad genéricas que no mencionan cifrado ni control de acceso.
• Subencargados sin autorización previa ni lista de países.
• Plazos de notificación de violaciones superiores a 48 horas.
• Ausencia de derechos de auditoría o auditorías solo anuales y con aviso previo.
• Confidencialidad limitada al personal directo, sin extenderla a contratistas.
• Devolución o supresión sin certificado ni plazo.

Un sistema de gestión documental ayuda a controlar versiones y evidencias. La guía de requisitos de documentación de ISO 9001 ofrece criterios aplicables al control de documentos y registros, aunque ISO 9001 no sustituye al GDPR.

Checklist de verificación rápida

Use esta lista antes de firmar o renovar un DPA:

• ¿Están identificados responsable, encargado y representantes?
• ¿Se describen datos, interesados, finalidades y duración?
• ¿Hay instrucciones documentadas y procedimiento de cambio?
• ¿Se detallan medidas del artículo 32 GDPR?
• ¿Existe autorización previa para subencargados y lista actualizada?
• ¿Se cubren transferencias internacionales y mecanismos de garantía?
• ¿Se regula la asistencia en derechos de los interesados?
• ¿Hay plazo de notificación de violaciones compatible con 72 horas?
• ¿Se reconocen auditorías e inspecciones?
• ¿Se define devolución o supresión con certificación?
• ¿Se asignan responsabilidades e indemnizaciones?

Gobernanza y revisión continua

El DPA no es un documento estático. Revíselo al menos una vez al año, ante cambios de proveedor, nuevas finalidades, incidentes o modificaciones normativas. Mantenga un registro de actividades, formación para el personal y evidencias de auditoría. Si el tratamiento se apoya en un producto con marcado CE, coordine el DPA con el expediente técnico y la documentación de conformidad. La supervisión del DPO o del responsable de cumplimiento debe quedar documentada.

En resumen, esta GDPR data processing agreement clauses guide clause by clause permite convertir el artículo 28 GDPR en una lista verificable. Un DPA bien redactado reduce riesgo sancionador, acelera auditorías y protege tanto al responsable como al encargado. Revise cada cláusula, documente evidencias y actualice el contrato cuando cambie el tratamiento.