Guía Práctica Sobre GDPR data processing agreement clauses guide common mistakes y Errores Frecuentes

Un contrato de encargado del tratamiento, o DPA, no se resuelve copiando una plantilla. El artículo 28 del GDPR obliga a definir por escrito el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados. Esta guía sobre GDPR data processing agreement clauses guide common mistakes revisa las cláusulas que suelen fallar y cómo cerrarlas con evidencias auditables.

Qué exige el artículo 28 del GDPR en un DPA

El artículo 28(3) enumera el contenido mínimo. No basta con una referencia genérica al GDPR: el contrato debe describir instrucciones documentadas, confidencialidad, medidas de seguridad del artículo 32, subencargados, asistencia al responsable, notificación de violaciones, supresión o devolución y auditoría. La Guía de cláusulas de DPA desarrolla cada apartado con ejemplos.

Un error de base es confundir responsable y encargado. El responsable decide fines y medios esenciales; el encargado trata por cuenta ajena. Si el proveedor determina fines propios, no corresponde un DPA, sino una relación de corresponsables o una base jurídica independiente.

Cláusulas mínimas que no admiten interpretación creativa

• Objeto, duración, naturaleza y finalidad.
• Tipo de datos personales y categorías de interesados.
• Instrucciones documentadas y límite de finalidad.
• Confidencialidad del personal autorizado.
• Medidas técnicas y organizativas del artículo 32.
• Subencargados: autorización, lista y flujo de responsabilidad.
• Asistencia al responsable en derechos de los interesados y evaluaciones de impacto.
• Notificación de violaciones sin dilación indebida.
• Supresión o devolución al finalizar.
• Auditoría e inspección.

Si falta una de estas piezas, el DPA queda cojo. La autoridad de control puede considerarlo incumplimiento del artículo 28 y, además, debilitar la defensa ante una reclamación.

Errores comunes al redactar cláusulas de DPA

En el análisis de GDPR data processing agreement clauses guide common mistakes, los fallos recurrentes son previsibles:

1. Anexos vacíos o genéricos. «Medidas de seguridad adecuadas» no dice nada. Hay que concretar cifrado, control de acceso, registro, seudonimización y gestión de incidentes.
2. Subencargados sin autorización previa ni lista actualizada. El artículo 28(2) exige autorización escrita, general o específica.
3. Plazos de notificación de violaciones. El GDPR fija 72 horas para el responsable; el DPA debe permitir cumplir ese plazo, no bloquearlo.
4. Auditoría limitada a «previa cita» sin criterios, alcance ni confidencialidad.
5. Transferencias internacionales sin base del Capítulo V. No basta con mencionar cláusulas contractuales tipo; hay que identificar el mecanismo y hacer evaluación de transferencia.
6. Falta de asistencia en derechos de los interesados. El encargado debe ayudar, no derivar al interesado sin más.
7. Confidencialidad sin obligación de formación ni registro de accesos.
8. Ausencia de régimen de responsabilidad y costes de auditoría.

Estos errores no son solo formales. Afectan a la trazabilidad y a la capacidad de demostrar cumplimiento. Un DPA mal redactado se convierte en un pasivo operativo.

Transferencias internacionales y subencargados: dónde fallan los anexos

El Capítulo V del GDPR regula las transferencias a terceros países. Si el proveedor usa soporte en la nube fuera del Espacio Económico Europeo, el DPA debe identificar el mecanismo: decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o excepción concreta. La evaluación de transferencia debe documentarse y revisarse cuando cambie el proveedor o la normativa.

Los subencargados requieren un flujo de responsabilidad claro. El encargado principal responde ante el responsable incluso si el fallo lo comete un subencargado. La lista de subencargados debe estar actualizada y acompañada de un procedimiento de objeción. Si el servicio incluye hardware con marcado CE, la documentación técnica del producto no sustituye al DPA; consulte el Archivo técnico de marcado CE para separar obligaciones de producto y de protección de datos.

Evidencias, auditoría y trazabilidad: conexión con ISO 9001

Un DPA no vive aislado. Las medidas técnicas y organizativas deben poder auditarse. Aquí ayuda un sistema de gestión documentado. La guía de Requisitos de documentación ISO 9001 explica cómo estructurar procedimientos, registros y control de versiones. Si su organización integra ISO 9001, ISO 14001 e ISO 45001, no duplique evidencias: use un mapa documental único y vincule cada cláusula del DPA con su registro.

La auditoría del encargado debe tener alcance, frecuencia, criterios y confidencialidad. No se trata de auditar sin límites, sino de verificar el cumplimiento del artículo 28 y del artículo 32. Guarde informes, planes de acción y cierre de hallazgos. Si el tratamiento afecta a ensayos o especificaciones de materiales, como ASTM D4169 o ASTM A36, separe los registros técnicos de los registros de protección de datos.

Checklist operativa para cerrar un DPA sin reincidir

Use esta checklist como complemento a GDPR data processing agreement clauses guide common mistakes y revísela antes de firmar:

• Verificar que el proveedor es encargado y no responsable.
• Anexar la descripción del tratamiento, datos e interesados.
• Incluir medidas del artículo 32 con métricas verificables.
• Aprobar subencargados y lista actualizada.
• Fijar plazos de notificación compatibles con las 72 horas.
• Regular auditoría, costes y confidencialidad.
• Documentar transferencias internacionales y evaluación.
• Definir supresión o devolución con formato y plazo.
• Asignar responsable interno y revisión anual.
• Guardar versiones firmadas y cambios.

Una revisión anual evita que el DPA quede obsoleto. Si cambia el servicio, el subencargado o el país de tratamiento, actualice el contrato y la evaluación de impacto. La exactitud documental es la mejor defensa.