Cumplimiento UE 5 min de lectura
Guía GDPR: "GDPR data processing agreement clauses requirements step by step"
Un DPA conforme al Art. 28 GDPR exige cláusulas concretas y evidencia. Esta guía recorre requisitos, errores frecuentes y checklist para proveedores.
Base legal y alcance del artículo 28 GDPR
El Art. 28 GDPR exige un contrato escrito —o acto jurídico vinculante— cuando un proveedor trata datos personales por cuenta de un responsable. No basta con una cláusula suelta en el contrato principal: el acuerdo de tratamiento de datos, o DPA, debe detallar objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos y categorías de interesados. En la práctica, el DPA se apoya en anexos: Anexo I con datos y finalidades; Anexo II con medidas de seguridad; Anexo III con subencargados autorizados.
La obligación aplica a nubes, SaaS, centros de contacto, gestorías, transporte con seguimiento y cualquier encargado que acceda a datos personales. También aplica a subencargados: el Art. 28.4 GDPR traslada las mismas obligaciones mediante contrato. Si el proveedor actúa como responsable independiente, no corresponde un DPA, sino un acuerdo de corresponsabilidad o una evaluación de riesgos. Para revisar cláusulas típicas, puede consultar la guía interna GDPR Data Processing Agreement Clauses: A Practical Guide.
GDPR data processing agreement clauses requirements step by step
Esta secuencia resume los requisitos mínimos del Art. 28.3 GDPR y evita auditorías fallidas. Aplique GDPR data processing agreement clauses requirements step by step como lista de verificación, no como plantilla rígida.
1. Identificación de roles y alcance
Defina quién es responsable, quién encargado y quién subencargado. Incluya razón social, registro mercantil, domicilio y representante. Delimite el tratamiento: categorías de datos (identificativos, financieros, salud, biométricos), interesados (empleados, clientes, pacientes), sistemas y ubicaciones. Si hay datos de categorías especiales, el Art. 9 GDPR exige base adicional y garantías reforzadas.
2. Objeto, duración y naturaleza
El contrato debe indicar duración, finalidad y naturaleza del tratamiento. No use fórmulas genéricas como 'servicios de TI'. Describa operaciones: recogida, almacenamiento, consulta, transmisión, supresión. Fije plazos de conservación y devolución o borrado al terminar. El apartado de duración debe cubrir prórrogas, terminación anticipada y período de transición.
3. Instrucciones documentadas
El encargado solo trata datos siguiendo instrucciones documentadas del responsable. El DPA debe recoger el procedimiento para emitir, modificar y registrar instrucciones. Si el encargado considera que una instrucción infringe el GDPR, debe informar de inmediato. Esta cláusula se conecta con el Art. 28.3.a y con el principio de responsabilidad proactiva del Art. 5.2 GDPR.
4. Confidencialidad y seguridad
Personal autorizado debe estar sujeto a deber de confidencialidad. El Anexo II debe describir medidas técnicas y organizativas: cifrado, control de acceso, registro de actividad, copias, gestión de vulnerabilidades, continuidad. El Art. 32 GDPR pide medidas apropiadas al riesgo. No basta con mencionar ISO/IEC 27001: hay que concretar controles, responsables y evidencias. La guía The ISO 9001 documentation requirements guide: A Practical O ayuda a estructurar evidencias documentales, aunque ISO 9001 no sustituye al GDPR.
5. Subencargados y transferencias
El DPA debe fijar autorización previa específica o general. Si es general, exija notificación con derecho de objeción. El subencargado debe asumir las mismas obligaciones por contrato. Para transferencias fuera del EEE, identifique país, mecanismo del Capítulo V GDPR —decisiones de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes— y evaluación de impacto. El apartado de transferencias suele fallar cuando el proveedor usa subencargados no listados.
6. Auditoría, incidentes y fin del contrato
Incluya derechos de auditoría, inspección y solicitud de informes. El encargado debe asistir en violaciones de seguridad, evaluaciones de impacto y consultas previas. El Art. 33 GDPR fija notificación al responsable sin dilación indebida. Al terminar, el encargado debe devolver o suprimir datos y certificarlo. Si la ley aplicable lo impide, debe informar y limitar el tratamiento.
Cláusulas críticas que suelen fallar en auditorías
Las revisiones prácticas detectan fallos repetidos. Primero, DPA firmado pero sin anexos de seguridad. Segundo, subencargados sin contrato espejo. Tercero, transferencias internacionales sin evaluación. Cuarto, plazos de notificación de incidentes superiores a 24-48 horas sin justificación. Quinto, auditorías limitadas a cuestionarios anuales.
Para cerrar brechas, asigne responsables por cláusula, versiones y fechas. Use un registro de DPA con estado, riesgo y próxima revisión. Incorpore GDPR data processing agreement clauses requirements step by step en procedimientos de compras y homologación de proveedores. Si su organización opera con marcado CE, revise también EU CE Marking Technical File: A Practical Guide, porque la documentación técnica y los datos de ensayo pueden contener datos personales.
Integración con ISO 9001, ISO/IEC 27001 y CE
Un DPA no vive aislado. ISO 9001 ayuda a controlar documentación, revisiones y no conformidades. ISO/IEC 27001 aporta controles de seguridad y gestión de riesgos. El marcado CE exige expediente técnico y declaración de conformidad; si incluye datos de usuarios o pacientes, el DPA debe cubrir su tratamiento. Coordine los anexos del DPA con el catálogo de proveedores, el registro de riesgos y el plan de auditoría.
La clave es la trazabilidad: cada cláusula debe tener evidencia. Por ejemplo, cláusula de confidencialidad → acuse firmado; cláusula de seguridad → informe de controles; cláusula de subencargados → lista actualizada; cláusula de borrado → certificado de destrucción. Así, GDPR data processing agreement clauses requirements step by step se convierte en un sistema verificable.
Errores prácticos y checklist de verificación
Evite copiar DPA de otro sector sin ajustar riesgos. No acepte 'cumplimos GDPR' como única garantía. No deje la seguridad en un anexo genérico. No permita subencargados ilimitados. No ignore datos de empleados. No olvide la formación del personal.
Checklist mínimo:
- Partes, roles y representantes identificados.
- Objeto, duración, finalidad y categorías de datos.
- Instrucciones documentadas y procedimiento de cambio.
- Confidencialidad y medidas del Art. 32 GDPR.
- Subencargados autorizados y contrato espejo.
- Transferencias internacionales con mecanismo del Capítulo V.
- Asistencia en incidentes, DPIA y derechos.
- Auditoría, devolución o borrado y certificación.
- Anexos versionados y firmados.
Preguntas frecuentes
¿Un DPA es obligatorio si el proveedor solo accede a datos de contacto?
Sí. Si trata datos personales por cuenta del responsable, el Art. 28 GDPR exige DPA. El volumen no elimina la obligación.
¿Puede firmarse electrónicamente?
Sí, si cumple requisitos de firma electrónica y queda constancia. El GDPR exige contrato escrito o acto jurídico vinculante.
¿Qué pasa si el encargado usa un subencargado no autorizado?
Incumple el Art. 28.2 y 28.4 GDPR. El responsable debe exigir regularización, evaluar riesgo y, si procede, terminar el contrato.
¿Cuánto tiempo debe conservarse el DPA?
No hay plazo único. Conserve mientras exista relación y después según prescripción, auditoría o litigios. Coordine con la política de retención.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
Article 28(3)
Article 28(3) of the GDPR lists the minimum clauses required in a data processing agreement.
ID del dato:
GDPR_article_28_3Controller-processor relationship
A DPA is required when a processor handles personal data on behalf of a controller.
ID del dato:
dpa_triggerArticle 28(2)
Sub-processors require prior specific or general written authorization under Article 28(2).
ID del dato:
sub_processor_rule72 hours
Controllers must notify supervisory authorities of a personal data breach within 72 hours under Article 33.
ID del dato:
breach_notification_deadlineArticle 32
Security measures must be appropriate to the risk under Article 32.
ID del dato:
security_standardChapter V
International transfers outside the EEA require a Chapter V mechanism such as SCCs or an adequacy decision.
ID del dato:
transfer_mechanismArticle 28(9)
The DPA must be in writing, including electronic form, under Article 28(9).
ID del dato:
dpa_form
Preguntas frecuentes
¿Un DPA es obligatorio si el proveedor solo accede a datos de contacto?
Sí. Si trata datos personales por cuenta del responsable, el Art. 28 GDPR exige DPA. El volumen no elimina la obligación.
¿Puede firmarse electrónicamente?
Sí, si cumple requisitos de firma electrónica y queda constancia. El GDPR exige contrato escrito o acto jurídico vinculante.
¿Qué pasa si el encargado usa un subencargado no autorizado?
Incumple el Art. 28.2 y 28.4 GDPR. El responsable debe exigir regularización, evaluar riesgo y, si procede, terminar el contrato.
¿Cuánto tiempo debe conservarse el DPA?
No hay plazo único. Conserve mientras exista relación y después según prescripción, auditoría o litigios. Coordine con la política de retención.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
