GDPR Data Processing Agreement Clauses Requirements for Small Business: Guía Práctica

Por qué el artículo 28 GDPR obliga a las pymes a firmar un DPA

El artículo 28 GDPR regula la relación entre responsable y encargado del tratamiento. Si una pyme contrata un CRM, un servicio de nóminas, un proveedor de hosting o una herramienta de email marketing, normalmente actúa como responsable y el proveedor como encargado. La norma no exige un documento con un nombre concreto, pero sí un contrato u otro acto jurídico vinculante que imponga obligaciones equivalentes. Para una pyme, la consecuencia práctica es directa: sin DPA, la externalización del tratamiento queda sin base contractual específica y aumenta el riesgo de sanción y de reclamaciones.

La expresión GDPR data processing agreement clauses requirements for small business se refiere precisamente a ese conjunto de cláusulas que una pyme debe revisar antes de contratar. No basta con aceptar los términos online del proveedor. Hay que comprobar que el documento cubre el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados. También debe fijar las obligaciones del encargado y los derechos del responsable. Si el proveedor no ofrece un DPA, la pyme debe solicitarlo por escrito y conservar la evidencia.

Cláusulas mínimas del contrato de encargo

El artículo 28.3 GDPR enumera el contenido mínimo. Estas cláusulas son obligatorias y deben aparecer en el contrato o en un anexo de tratamiento de datos. Si faltan, el acuerdo no cumple.

Contenido obligatorio según el artículo 28.3

• Tratar los datos personales solo siguiendo instrucciones documentadas del responsable, incluidas las transferencias a terceros países.
• Garantizar que las personas autorizadas para tratar datos se comprometan a la confidencialidad.
• Aplicar medidas técnicas y organizativas apropiadas conforme al artículo 32 GDPR.
• Asistir al responsable en la respuesta a los derechos de los interesados: acceso, rectificación, supresión, limitación, portabilidad y oposición.
• Ayudar a cumplir las obligaciones de los artículos 32 a 36 GDPR, incluidas notificaciones de brechas y evaluaciones de impacto.
• Suprimir o devolver los datos al finalizar la prestación, según la elección del responsable.
• Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento y permitir auditorías e inspecciones.

Además, el artículo 28.2 GDPR exige que el encargado no subcontrate sin autorización previa por escrito del responsable. Esa autorización puede ser específica o general. Si es general, el contrato debe indicar el procedimiento para informar sobre cambios de subencargados y el derecho del responsable a oponerse. El artículo 28.4 GDPR traslada las mismas obligaciones al subencargado mediante contrato.

GDPR data processing agreement clauses requirements for small business: cómo adaptarlas sin equipo legal

Una pyme no necesita redactar un DPA desde cero. Puede partir de plantillas de autoridades de control, de asociaciones sectoriales o del propio proveedor. La clave está en revisar y adaptar. Primero, identifica todos los proveedores que tratan datos personales por cuenta de la empresa: hosting, nóminas, gestoría, marketing, soporte, mensajería, análisis web. Segundo, clasifica el riesgo: datos de salud, datos de menores, datos financieros o datos de empleados requieren más controles. Tercero, comprueba que el DPA incluye las cláusulas del artículo 28.3 y un anexo con las medidas de seguridad.

Para pymes con recursos limitados, una matriz de proveedores ayuda. En una hoja de cálculo, registra: proveedor, servicio, categoría de datos, ubicación del tratamiento, subencargados, fecha de firma del DPA, fecha de revisión y responsable interno. Esta matriz es evidencia de diligencia y facilita la respuesta si la autoridad de control solicita información. También conviene enlazar el DPA con el registro de actividades de tratamiento del artículo 30 GDPR. Si la pyme tiene menos de 250 empleados, puede estar exenta de llevar el registro completo, pero la exención no es absoluta: si el tratamiento no es ocasional o afecta a derechos, el registro sigue siendo recomendable.

La GDPR Data Processing Agreement Clauses: A Practical Guide desarrolla cláusulas modelo y ejemplos de redacción. Para el control documental, la ISO 9001 documentation requirements guide aporta un método útil: versiones, aprobaciones, retención y revisión periódica. Aunque ISO 9001 no sea una norma de privacidad, su enfoque de gestión documental encaja con la evidencia que exige el GDPR. Si la pyme también comercializa productos, el EU CE Marking Technical File: A Practical Guide muestra cómo estructurar expedientes técnicos y declaraciones; la lógica de trazabilidad es aplicable a los anexos del DPA.

Transferencias internacionales, subencargados y auditorías

El DPA debe identificar si el encargado trata datos fuera del Espacio Económico Europeo. Si hay transferencia internacional, no basta con una cláusula genérica. Hay que indicar el mecanismo del Capítulo V GDPR: decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o excepciones del artículo 49 GDPR. Para una pyme, lo práctico es preguntar al proveedor dónde aloja los datos, si usa subencargados en terceros países y qué garantías aplica. La respuesta debe quedar documentada en el DPA o en un anexo.

Las auditorías son otro punto crítico. El artículo 28.3.h GDPR permite al responsable inspeccionar. En la práctica, muchas pymes no auditan presencialmente. Pueden aceptar informes de auditoría de terceros, certificaciones ISO/IEC 27001, cuestionarios de seguridad o evidencias de pruebas de penetración. El contrato debe permitir esas alternativas sin eliminar el derecho de inspección. También debe regular la notificación de brechas: el encargado debe informar sin dilación indebida desde que tenga conocimiento, con datos suficientes para que el responsable evalúe si debe notificar a la autoridad de control EN 72 horas conforme al artículo 33 GDPR.

Errores frecuentes y lista de verificación para pymes

Los errores más habituales son: aceptar los términos del proveedor sin leer el DPA; no firmar un anexo cuando el contrato principal es genérico; olvidar a los subencargados; no actualizar el DPA cuando cambia el servicio; y no conservar la versión firmada. También es frecuente confundir responsable y encargado. Una gestoría que trata datos por cuenta de la pyme es encargada; una asesoría que decide fines propios puede ser responsable o corresponsable. La calificación determina qué cláusulas aplicar.

Lista de verificación:

1. ¿Existe un DPA firmado o aceptado electrónicamente con fecha?
2. ¿Incluye objeto, duración, naturaleza, finalidad, tipos de datos e interesados?
3. ¿Recoge las obligaciones del artículo 28.3 GDPR?
4. ¿Regula subencargados y transferencias internacionales?
5. ¿Incluye medidas de seguridad y notificación de brechas?
6. ¿Permite auditorías o evidencias equivalentes?
7. ¿Prevé devolución o supresión al finalizar?
8. ¿Está vinculado al registro de actividades y a la matriz de proveedores?

Conclusión: evidencia documental y mantenimiento

La frase GDPR data processing agreement clauses requirements for small business no es un trámite único. Es un ciclo: identificar proveedores, firmar el DPA, revisar cambios, documentar decisiones y conservar evidencias. Para una pyme, el objetivo no es tener un contrato perfecto, sino demostrar que trata los datos personales con base contractual y control razonable. Un DPA bien redactado reduce la exposición en caso de incidente y facilita la relación con clientes que exigen garantías de privacidad. Revisa los DPA al menos una vez al año o cuando cambie el proveedor, el servicio o la normativa aplicable.