Cumplimiento UE 5 min de lectura
Cláusulas De GDPR data processing agreement clauses requirements clause by clause En Contratos
Guía operativa para contrastar cada cláusula del contrato de encargo del tratamiento con el Artículo 28 del GDPR y con evidencias documentales.
Un contrato de encargo del tratamiento (DPA) se evalúa por su capacidad de demostrar cumplimiento, no por su extensión. Esta guía ordena la revisión de GDPR data processing agreement clauses requirements clause by clause con referencias al Artículo 28 del GDPR y a la documentación que un auditor suele solicitar. El objetivo es que cada cláusula tenga un responsable, un plazo y una evidencia.
Qué exige el Artículo 28 del GDPR
El Artículo 28 del GDPR regula el tratamiento por cuenta de un responsable. El apartado 3 enumera el contenido mínimo: objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos personales, categorías de interesados y obligaciones del encargado. También exige que el contrato conste por escrito, incluido formato electrónico, y que el encargado actúe solo siguiendo instrucciones documentadas del responsable. Si falta alguno de estos elementos, el DPA no cumple. Para una visión de conjunto, puede consultar GDPR Data Processing Agreement Clauses: A Practical Guide.
Partes, roles y alcance
El DPA debe identificar al responsable y al encargado, y describir el tratamiento con suficiente detalle. No basta con una fórmula genérica. Conviene delimitar sistemas, categorías de datos, finalidades, duración y países de tratamiento. Un encargado no se convierte en responsable por firmar un DPA; la calificación depende de la realidad del tratamiento, conforme al Artículo 4.7 y 4.8 del GDPR. Si hay corresponsables, se necesita un acuerdo separado del Artículo 26.
Cláusulas obligatorias: del objeto a la confidencialidad
Además del objeto y la duración, el DPA debe cubrir confidencialidad, seguridad del Artículo 32, asistencia al responsable, notificación de violaciones de seguridad, supresión o devolución de datos, y derecho de auditoría. La revisión de GDPR data processing agreement clauses requirements clause by clause debe comprobar que cada obligación tiene un responsable operativo y un plazo. Por ejemplo: ¿quién notifica una brecha? ¿en cuántas horas? ¿con qué contenido mínimo? ¿quién aprueba subencargados? ¿cómo se atienden los derechos de los interesados? Estas preguntas convierten una cláusula abstracta en un control verificable.
Lista mínima de comprobación:
- Instrucciones documentadas y límites de finalidad.
- Confidencialidad del personal autorizado.
- Medidas de seguridad del Artículo 32.
- Asistencia para derechos de los interesados.
- Notificación de violaciones de seguridad.
- Supresión o devolución al terminar.
- Auditoría e inspección.
- Subencargados y flujo de obligaciones.
Subencargados, transferencias internacionales y auditorías
El encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable. El DPA debe indicar si la autorización es específica o general, cómo se informa de cambios y qué derecho de oposición tiene el responsable. Las obligaciones deben fluir hacia el subencargado mediante un contrato equivalente. Para transferencias fuera del Espacio Económico Europeo, se aplican las garantías del Capítulo V del GDPR: decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o excepciones. La cláusula de auditoría debe precisar alcance, frecuencia, confidencialidad, costes y acceso a instalaciones. Un sistema de gestión documental como el de ISO 9001 ayuda a mantener versiones, aprobaciones y registros de formación, aunque no sustituye las obligaciones del GDPR.
Responsabilidad, duración y documentación operativa
El DPA debe definir la duración, las causas de terminación y el destino de los datos al finalizar. El encargado debe suprimir o devolver los datos personales, salvo que una norma exija conservarlos. También conviene regular responsabilidades, indemnizaciones, seguros y notificación de requerimientos de autoridades. En la práctica, GDPR data processing agreement clauses requirements clause by clause se apoya en evidencias: registros de tratamiento del Artículo 30, evaluaciones de impacto del Artículo 35, informes de auditoría, certificados y tickets. Cuando el servicio forma parte de un producto regulado, la trazabilidad documental puede alinearse con el expediente técnico CE; ver EU CE Marking Technical File: A Practical Guide.
La rendición de cuentas exige poder demostrar que el DPA se aplica. No basta con firmarlo. Los equipos de compras, legal, seguridad y operaciones deben conocer sus obligaciones. Programe revisiones anuales o cuando cambie el servicio, el país de tratamiento o la categoría de datos. Si el encargado usa inteligencia artificial o servicios en la nube, revise la ubicación de los datos y las medidas de seudonimización.
Cómo revisar un DPA con enfoque de auditoría
Use una matriz de GDPR data processing agreement clauses requirements clause by clause. Para cada cláusula, anote: requisito legal, redacción contractual, control operativo, evidencia y responsable interno. Después, pruebe el DPA con casos reales: una solicitud de acceso, una brecha, un cambio de subencargado, una transferencia a Estados Unidos y una auditoría. Si el contrato no responde en un plazo concreto, la cláusula es incompleta. Documente las excepciones y fije fechas de remediación. Esta disciplina reduce hallazgos y facilita la rendición de cuentas del Artículo 5.2 del GDPR.
Errores frecuentes y ajustes prácticos
Los fallos más comunes son: copiar plantillas sin adaptar el tratamiento; no identificar subencargados; confundir responsable y encargado; omitir plazos de notificación; no regular transferencias internacionales; y no prever la devolución o supresión. También es frecuente que la cláusula de auditoría sea inaplicable por falta de alcance o costes. Ajuste el DPA a la criticidad del servicio. Para datos de categorías especiales o tratamientos a gran escala, refuerce controles, revisiones y formación. Mantenga un registro de versiones y una persona responsable de cada obligación.
Un DPA robusto no impide una brecha, pero define cómo responder. Incluya canales de contacto, escalado y plazos internos. Verifique que el encargado puede demostrar formación, control de accesos y registro de actividades. Si el contrato se apoya en una certificación, compruebe su alcance y vigencia.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
Art. 28 GDPR
El Artículo 28 del GDPR exige que el DPA incluya objeto, duración, naturaleza y finalidad, tipo de datos, categorías de interesados y obligaciones del encargado.
ID del dato:
GDPR_article_28_minimum_clausesWritten contract
El contrato de encargo del tratamiento debe constar por escrito, incluido el formato electrónico.
ID del dato:
dpa_written_formPrior written authorization
El encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable.
ID del dato:
subprocessor_prior_authorizationChapter V GDPR
Las transferencias internacionales requieren una garantía del Capítulo V del GDPR, como decisión de adecuación o cláusulas contractuales tipo.
ID del dato:
international_transfer_legal_basisAudit right
El DPA debe reconocer el derecho del responsable a auditar o inspeccionar al encargado.
ID del dato:
audit_right_requiredWithout undue delay
El encargado debe notificar violaciones de seguridad al responsable sin dilación indebida.
ID del dato:
breach_notification_standardISO/IEC 27001
Una certificación ISO/IEC 27001 ayuda en la diligencia debida, pero no sustituye las cláusulas del Artículo 28 del GDPR.
ID del dato:
ISO_27001_not_sufficient
Preguntas frecuentes
¿Es obligatorio firmar un DPA?
Sí. El Artículo 28.3 del GDPR exige un contrato u otro acto jurídico vinculante entre responsable y encargado. Debe constar por escrito, incluido formato electrónico.
¿Qué diferencia hay entre responsable y encargado del tratamiento?
El responsable decide los fines y medios del tratamiento (Artículo 4.7 del GDPR); el encargado trata datos personales por cuenta del responsable (Artículo 4.8). El DPA no altera esa calificación.
¿Puede el encargado contratar subencargados?
Solo con autorización previa por escrito del responsable. La autorización puede ser específica o general; si es general, debe regularse el derecho de oposición y la información sobre cambios.
¿Qué debe incluir la cláusula de auditoría?
Alcance, frecuencia, acceso a instalaciones y registros, confidencialidad, costes, plazos de notificación y formato del informe. Debe permitir verificar el cumplimiento del Artículo 28 del GDPR.
¿Cómo se regulan las transferencias internacionales en un DPA?
Deben apoyarse en una garantía del Capítulo V del GDPR: decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o excepciones. El DPA debe identificar países y destinatarios.
¿Cuánto tiempo debe conservarse el DPA?
Durante la vigencia del tratamiento y, después, durante los plazos de prescripción legal aplicables. La cláusula de supresión o devolución debe indicar qué ocurre con copias de seguridad y registros.
¿Basta con una certificación ISO/IEC 27001?
No. La certificación aporta evidencia de controles, pero no sustituye las cláusulas obligatorias del Artículo 28 del GDPR ni la responsabilidad contractual.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
