Cumplimiento UE 4 min de lectura
GDPR Data Processing Agreement Clauses How to Comply: Guía Práctica UE
El DPA del artículo 28 no es un trámite: es un contrato operativo. Esta guía explica cláusulas, roles, transferencias y evidencias para cumplir con el GDPR.
Un acuerdo de encargo de tratamiento (DPA) es el contrato que desarrolla el artículo 28 del GDPR. No basta con una cláusula perdida en un contrato marco: el DPA debe describir el tratamiento, asignar obligaciones verificables y permitir auditorías. Esta guía práctica resume GDPR data processing agreement clauses how to comply con enfoque de ingeniería: qué cláusulas incluir, cómo documentarlas y qué evidencias conservar. Para una base más amplia, consulta GDPR Data Processing Agreement Clauses: A Practical Guide.
Qué es un DPA y cuándo es obligatorio
El artículo 28 del GDPR obliga al responsable del tratamiento a formalizar un contrato con todo encargado que trate datos personales por su cuenta. El contrato debe ser por escrito, incluido formato electrónico, y vincular al encargado respecto del responsable. Si un proveedor accede a datos personales para prestar un servicio —nube, nómina, soporte, marketing, análisis—, normalmente hay DPA. Si el proveedor decide fines y medios, actúa como responsable independiente y se necesita otra base jurídica.
Responsable, encargado y subencargado
El responsable decide fines y medios. El encargado trata por cuenta del responsable. El subencargado es un tercero contratado por el encargado. La cadena no diluye responsabilidades: el encargado responde ante el responsable y debe trasladar al subencargado las mismas obligaciones de protección de datos. Documenta cada eslabón y conserva la autorización del responsable para subcontratar.
Cláusulas mínimas del artículo 28 del GDPR
Al revisar GDPR data processing agreement clauses how to comply, comprueba que el DPA incluye: objeto, duración, naturaleza y finalidad del tratamiento; tipo de datos personales y categorías de interesados; obligaciones y derechos del responsable; confidencialidad; seguridad del tratamiento; uso de subencargados; asistencia al responsable; notificación de brechas; auditorías e inspecciones; devolución o supresión de datos; y responsabilidad. La ausencia de una cláusula no siempre invalida el contrato, pero eleva el riesgo sancionador y debilita la defensa ante una autoridad de control.
Cláusulas operativas que suelen faltar
Plazos de notificación de brechas (24-72 horas), formatos de evidencia, ventanas de auditoría, gestión de subencargados, transferencias internacionales, medidas de seguridad concretas (cifrado, seudonimización, control de accesos) y criterios de devolución. Estas cláusulas convierten el DPA en un documento operativo, no en una declaración de intenciones. Si el proveedor no puede comprometer un plazo, negocia un procedimiento de escalado y documenta el riesgo residual.
Cómo cumplir paso a paso
- Inventario de proveedores que tratan datos personales. 2) Clasificación por rol y riesgo. 3) Plantilla alineada con el artículo 28. 4) Negociación de cláusulas críticas. 5) Firma y control de versiones. 6) Revisión anual o ante cambios. La documentación debe integrarse con tu sistema de gestión; por ejemplo, con los controles de The ISO 9001 documentation requirements guide: A Practical O.
Evidencias y trazabilidad
Conserva DPA firmados, anexos técnicos, evaluaciones de proveedor, registros de auditoría, notificaciones de brecha y aprobaciones de subencargados. La autoridad de control valora la capacidad de demostrar cumplimiento, no solo la existencia del contrato. Asigna un propietario interno, versiona los documentos y registra la fecha de la última revisión.
Transferencias internacionales y cláusulas contractuales tipo
Si el encargado trata datos fuera del EEE, necesitas una base de transferencia: decisión de adecuación, cláusulas contractuales tipo (SCC), normas corporativas vinculantes o excepciones. El Marco de Privacidad de Datos UE-EE. UU. (DPF) es una vía válida para entidades certificadas. Documenta una evaluación de impacto de transferencia (TIA) y revisa GDPR data processing agreement clauses how to comply cada vez que cambie el proveedor, la ubicación o el servicio. Las SCC deben incorporarse como anexo y no como simple referencia.
En la práctica, la transferencia no se resuelve solo con firmar SCC: hay que analizar acceso gubernamental, medidas suplementarias y datos tratados. Si el proveedor usa subencargados en terceros países, exige la misma cadena contractual y notificación previa.
Errores frecuentes y cómo evitarlos
Firmar un DPA genérico sin anexo técnico; no cubrir subencargados; no auditar; no actualizar tras un cambio de servicio; confundir responsable y encargado; no documentar transferencias. Para evitarlo, asigna un propietario del DPA, usa listas de verificación y vincula el contrato al registro de actividades del artículo 30. Si además comercializas productos, la trazabilidad documental sigue lógicas similares a las de EU CE Marking Technical File: A Practical Guide.
Otro error es firmar y archivar. El DPA debe probarse en incidentes: ¿sabes a quién notificar, en qué plazo y con qué evidencia? Haz simulacros y conserva registros.
Checklist final para cumplir
Antes de firmar: confirma rol, finalidad, datos, duración, subencargados, seguridad, brechas, auditoría, transferencias y devolución. Después de firmar: archiva, forma al equipo, revisa y actualiza. La frase clave no es solo contractual: GDPR data processing agreement clauses how to comply exige evidencia operativa. Si necesitas una plantilla de referencia, cruza esta guía con GDPR Data Processing Agreement Clauses: A Practical Guide y con los requisitos de documentación de ISO 9001.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
Article 28(3)
GDPR Article 28(3) lists the minimum clauses that must appear in a controller-processor contract.
ID del dato:
GDPR_article_28_372 hours
Controllers must notify supervisory authorities of personal data breaches within 72 hours of becoming aware.
ID del dato:
breach_notification_deadlineYes
A data processing agreement is mandatory when a processor handles personal data on behalf of a controller.
ID del dato:
dpa_requiredPrior written authorization
Processors may engage sub-processors only with prior specific or general written authorization from the controller.
ID del dato:
sub_processor_authorizationChapter V
International transfers of personal data outside the EEA require a Chapter V transfer mechanism.
ID del dato:
international_transfer_mechanismArticle 28(10)
A contract that does not meet Article 28 is void under GDPR Article 28(10).
ID del dato:
contract_void_rule
Preguntas frecuentes
¿Es obligatorio firmar un DPA con todos los proveedores?
Solo con encargados que tratan datos personales por cuenta del responsable. Si el proveedor decide fines y medios, actúa como responsable independiente y se necesita otra base jurídica.
¿Qué cláusulas no pueden faltar en un DPA?
Objeto, duración, finalidad, tipos de datos, categorías de interesados, seguridad, subencargados, notificación de brechas, auditoría, devolución o supresión y responsabilidad.
¿Cada cuánto se revisa un DPA?
Al menos una vez al año o cuando cambie el servicio, la ubicación de los datos, los subencargados o la normativa aplicable.
¿Sirve un DPA genérico?
No si no refleja el tratamiento real. Necesita anexos técnicos y organizativos, plazos operativos y evidencias verificables.
¿Qué exige una transferencia de datos fuera del EEE?
Una base de transferencia como SCC, decisión de adecuación, DPF o excepción, además de una evaluación de transferencia y medidas suplementarias si proceden.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
