Cumplimiento UE 5 min de lectura
GDPR data processing agreement clauses requirements common mistakes: Guía Práctica
Resumen práctico de las cláusulas del Art. 28 GDPR, los requisitos operativos y los errores frecuentes en un DPA.
Un acuerdo de encargo de tratamiento, o DPA, es el contrato que separa responsabilidades entre responsable y encargado del tratamiento. En la práctica, no basta con firmar un anexo genérico: el Art. 28 GDPR exige contenido mínimo, trazabilidad y mecanismos de control. Esta guía repasa GDPR data processing agreement clauses requirements common mistakes con referencias concretas al articulado y a la documentación que suele pedir una auditoría.
Qué es un DPA y por qué el Art. 28 GDPR marca el estándar
El Art. 28(1) GDPR obliga al responsable a elegir encargados que ofrezcan garantías suficientes. El Art. 28(3) GDPR detalla qué debe figurar por escrito, incluido el tratamiento por encargados sucesivos. La GDPR Data Processing Agreement Clauses: A Practical Guide desarrolla el mapa de cláusulas, pero aquí interesa la conexión con evidencias: quién instruye, quién ejecuta, cómo se mide y qué ocurre si algo falla.
Diferencia entre responsable y encargado
El responsable decide fines y medios esenciales; el encargado trata datos personales por cuenta del responsable. Esta distinción condiciona cláusulas como la confidencialidad, la seguridad y la notificación de violaciones. Si el encargado determina fines propios, pasa a ser responsable y el DPA deja de ser suficiente.
Cláusulas obligatorias del Art. 28(3) GDPR
El Art. 28(3) GDPR enumera ocho bloques que deben aparecer en el contrato o en un acto jurídico vinculante. No son una lista decorativa: cada bloque debe tener un responsable identificado y un plazo o criterio verificable.
- Instrucciones documentadas: el encargado solo trata datos personales siguiendo instrucciones del responsable, incluidas transferencias internacionales.
- Confidencialidad: las personas autorizadas se comprometen a guardar secreto o están sujetas a obligación legal.
- Seguridad del tratamiento: medidas técnicas y organizativas conforme al Art. 32 GDPR.
- Subencargados: autorización previa por escrito, deberes equivalentes y responsabilidad del encargado ante el responsable.
- Derechos de los interesados: asistencia al responsable para responder solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición.
- Violaciones de seguridad: notificación al responsable sin dilación indebida tras conocer el incidente.
- Evaluación de impacto y consulta previa: asistencia cuando el responsable deba realizar una DPIA o consultar a la autoridad de control.
- Devolución o supresión: al finalizar el servicio, el encargado devuelve o elimina los datos personales, salvo obligación legal de conservarlos.
Además, el Art. 28(2) GDPR exige que el encargado no incorpore otro encargado sin autorización previa específica o general. Si la autorización es general, debe existir un mecanismo de información y oposición. El Art. 28(4) GDPR traslada estas obligaciones al subencargado mediante contrato.
Requisitos operativos que suelen quedar fuera del contrato
Un DPA conforme no se limita a copiar el Art. 28(3) GDPR. La auditoría suele buscar evidencias de funcionamiento. Por ejemplo, registro de actividades de tratamiento, inventario de sistemas, matriz de accesos, procedimiento de gestión de incidentes y control de versiones documentales. La The ISO 9001 documentation requirements guide: A Practical O puede servir como referencia para ordenar procedimientos y registros, aunque ISO 9001 no sustituye al GDPR.
También conviene alinear el DPA con el EU CE Marking Technical File: A Practical Guide cuando el producto o servicio incluya componentes sujetos a marcado CE y genere datos de uso. No porque el marcado CE regule privacidad, sino porque la documentación técnica y la trazabilidad de versiones ayudan a demostrar que las medidas de seguridad declaradas se mantienen en el tiempo.
Errores comunes al redactar y negociar el DPA
Los GDPR data processing agreement clauses requirements common mistakes más habituales aparecen en contratos que copian plantillas sin adaptar el flujo real de datos. Estos son los fallos que más observo:
- Confundir encargado con responsable y atribuir al proveedor decisiones sobre finalidades.
- Incluir subencargados sin autorización escrita ni cláusulas equivalentes.
- Fijar plazos de notificación de brechas superiores a 48 horas sin justificación.
- Omitir la asistencia en DPIA y en consultas previas a la autoridad de control.
- No definir qué ocurre con copias de seguridad, datos agregados o entornos de prueba.
- Dejar la devolución o supresión como una opción unilateral del proveedor.
- No documentar instrucciones posteriores a la firma, por ejemplo por correo electrónico.
- Ignorar transferencias internacionales y no incorporar SCCs o garantías equivalentes.
Cómo corregir estos errores
Cada cláusula debe tener un dueño interno, un plazo y una evidencia. Si el encargado notifica brechas por correo, define una dirección funcional y un acuse de recibo. Si autorizas subencargados de forma general, publica la lista actualizada y regula el derecho de oposición. Si hay transferencias internacionales, vincula el DPA con la Decisión de Ejecución (UE) 2021/914 o con el mecanismo válido aplicable.
Checklist práctico y evidencias para auditoría
Antes de firmar, verifica que el DPA incluya: identificación de las partes, objeto y duración, naturaleza y finalidad del tratamiento, categorías de datos y de interesados, instrucciones documentadas, medidas de seguridad, régimen de subencargados, asistencia en derechos, notificación de violaciones, DPIA, devolución o supresión, responsabilidad y ley aplicable. Después de firmar, mantén un registro de versiones, un historial de instrucciones y pruebas de formación del personal autorizado.
La responsabilidad no termina con la firma. El Art. 82 GDPR permite reclamaciones por daños y el Art. 83 GDPR contempla multas administrativas. Por eso, un DPA bien redactado debe poder auditarse: quién accedió, qué sistema, con qué base, durante cuánto tiempo y bajo qué instrucción.
Transferencias internacionales, subencargados y responsabilidad
Si el proveedor accede a datos desde fuera del EEE, el DPA debe identificar el mecanismo de transferencia. Las SCCs de la Comisión, junto con una evaluación de impacto de la transferencia, son habituales. También revisa que el subencargado no esté en una jurisdicción que impida cumplir las cláusulas. En cadenas largas, el responsable debe poder demostrar que el Art. 28(4) GDPR se replica en cada eslabón.
Revisar GDPR data processing agreement clauses requirements common mistakes no es un ejercicio anual de plantilla. Es una tarea de ingeniería contractual: mapear datos, asignar controles, medir plazos y conservar evidencias. Si necesitas una base documental, empieza por el inventario de tratamientos y por las cláusulas del Art. 28(3) GDPR; después ajusta el contrato al flujo real y a los riesgos identificados.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
8
L'article 28(3) du RGPD fixe huit points (a) à (h) que l'accord de traitement des données doit couvrir.
ID del dato:
GDPR-art28-3-points72 h
Le responsable notifie une violation à l'autorité de contrôle sous 72 heures (article 33(1)) ; le sous-traitant, lui, informe le responsable « sans délai » (article 33(2)), sans délai chiffré imposé par le texte.
ID del dato:
GDPR-breach-notification-delayArticle 28(9)
Le contrat liant le responsable et le sous-traitant doit être écrit, y compris sous forme électronique (article 28(9)).
ID del dato:
GDPR-art28-9-form2021/914
Les clauses contractuelles types applicables aux transferts hors Union européenne figurent dans la décision d'exécution (UE) 2021/914.
ID del dato:
EU-scc-decision20 000 000 EUR / 4 %
L'article 83(5) permet une amende administrative allant jusqu'à 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
ID del dato:
GDPR-maximum-fineISO/IEC 27001:2022
La relation fournisseur et son suivi contractuel relèvent des contrôles 5.19 à 5.22 de l'annexe A de l'ISO/IEC 27001:2022.
ID del dato:
ISO 27001-SUPPLIER-CONTROLS01/2020
Les recommandations 01/2020 du CEPD encadrent les mesures techniques et organisationnelles supplémentaires à envisager pour les transferts.
ID del dato:
edpb-transfer-recommendations
Preguntas frecuentes
¿Qué cláusulas son obligatorias en un DPA según el GDPR?
El Art. 28(3) GDPR exige instrucciones documentadas, confidencialidad, seguridad, régimen de subencargados, asistencia en derechos, notificación de violaciones, apoyo en DPIA y devolución o supresión de datos.
¿Puede el encargado contratar subencargados sin autorización?
No. El Art. 28(2) GDPR exige autorización previa por escrito, específica o general. Si es general, debe informarse y permitir oposición.
¿Cuánto tiempo tiene el encargado para notificar una brecha?
El Art. 33(2) GDPR indica sin dilación indebida desde que conoce la violación. El DPA debe fijar un plazo operativo y un canal de notificación.
¿Basta con firmar las SCCs para transferencias internacionales?
No. Las SCCs de la Decisión de Ejecución (UE) 2021/914 son un mecanismo, pero exigen evaluación de la transferencia y medidas suplementarias si el país destino no ofrece garantías equivalentes.
¿Qué evidencias debe conservar el responsable?
Inventario de tratamientos, contrato firmado y versiones, instrucciones, registros de acceso, procedimientos de incidentes, formación y pruebas de devolución o supresión.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
