Cuando externalizas, la responsabilidad se comparte

Tu empresa utiliza servicios de terceros. Es un hecho. Ya sea para la gestión de nóminas, el almacenamiento en la nube, el marketing por correo electrónico o el soporte informático. Delegar estas tareas es eficiente, pero introduce una pregunta clave en materia de privacidad: si esos proveedores manejan datos personales de tus clientes o empleados, ¿quién es el responsable final si algo sale mal?

La respuesta es directa: tú. Como empresa que decide por qué y cómo se tratan esos datos, eres el «Responsable del Tratamiento». La normativa europea y española es muy clara al respecto. Externalizar un servicio no significa externalizar la responsabilidad legal.

Responsable vs. Encargado: Un tándem legal obligatorio

Para gestionar esta relación correctamente, es fundamental entender dos figuras que define el Reglamento General de Protección de Datos (RGPD):

  • Responsable del Tratamiento: Es tu empresa. La entidad que determina los fines y los medios del tratamiento de los datos personales. Eres quien decide qué datos se recogen y para qué se van a usar.
  • Encargado del Tratamiento: Es tu proveedor. La persona física o jurídica que trata los datos personales por cuenta del responsable. No decide sobre los datos, simplemente sigue tus instrucciones.

Esta relación no puede basarse en la confianza o en un acuerdo verbal. La ley exige que esté formalizada por escrito a través de un contrato de encargado de tratamiento, como se estipula en el Artículo 28 del RGPD.

El contrato que te protege: ¿Qué debe incluir?

Este contrato es tu principal herramienta de control y garantía. No es un mero formalismo; es un documento legal que delimita las obligaciones de tu proveedor y protege a tu empresa. Según la normativa, este acuerdo debe contener, como mínimo, lo siguiente:

  • El objeto, la duración, la naturaleza y la finalidad del tratamiento.
  • El tipo de datos personales y las categorías de interesados (empleados, clientes, etc.).
  • La obligación del encargado de tratar los datos únicamente siguiendo instrucciones documentadas del responsable.
  • El deber de confidencialidad de todo el personal del encargado que acceda a los datos.
  • La implementación de medidas de seguridad técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo.
  • Las condiciones para que el encargado pueda subcontratar a otros encargados (sub-encargados), requiriendo siempre tu autorización previa.
  • La obligación de asistir al responsable para que este pueda responder a las solicitudes de derechos de los ciudadanos (acceso, rectificación, supresión).
  • El compromiso de ayudarte en la notificación de brechas de seguridad y en la realización de evaluaciones de impacto.
  • La decisión sobre el destino de los datos una vez finalice el servicio: deben ser suprimidos o devueltos, a tu elección.
  • La obligación de poner a tu disposición toda la información necesaria para demostrar el cumplimiento y permitir la realización de auditorías.

La ausencia o la redacción deficiente de este contrato deja a tu empresa en una posición de alta vulnerabilidad legal.

Diligencia debida: Elegir al socio adecuado

Firmar un contrato no es suficiente. Como responsable, tienes el deber de elegir a un proveedor que ofrezca «garantías suficientes» de que aplicará las medidas técnicas y organizativas apropiadas. Esto se conoce como diligencia activa.

Antes de contratar, investiga. Revisa su política de privacidad, pregunta por sus medidas de seguridad y, si es posible, busca certificaciones o adhesiones a códigos de conducta. Recursos como el Instituto Nacional de Ciberseguridad (INCIBE) ofrecen guías y herramientas que pueden ayudar a las pymes a evaluar la madurez en ciberseguridad de un potencial socio tecnológico.

Recuerda: si tu proveedor sufre una brecha de seguridad que afecta a los datos que le confiaste, la Agencia Española de Protección de Datos (AEPD) no solo investigará al proveedor, sino también la diligencia que tú demostraste al contratarlo y supervisarlo. Las sanciones pueden ser para ambos.

Un caso ilustrativo: la sanción compartida

La AEPD ha impuesto numerosas sanciones a responsables por las malas prácticas de sus encargados. Un escenario común es el de una empresa que contrata una agencia de marketing para una campaña de email. La agencia utiliza una base de datos obtenida sin el consentimiento adecuado. Aunque la agencia ejecutó el envío, la AEPD sanciona a la empresa contratante como responsable por no haber garantizado la licitud de los datos y por no tener un contrato de encargado que definiera claramente las instrucciones y limitaciones.

Estos casos, que se pueden consultar en las resoluciones publicadas por la propia AEPD, demuestran que la responsabilidad es una cadena en la que el primer eslabón, el más fuerte, debe ser siempre el responsable del tratamiento: tu empresa.

La gestión de proveedores es un pilar central en cualquier estrategia de cumplimiento normativo. Cada relación comercial es única y presenta sus propios desafíos de privacidad, desde el uso de un software en la nube hasta la externalización de la contabilidad. Si quiere tener la certeza de que sus contratos son sólidos y su proceso de selección de proveedores es el adecuado para minimizar riesgos, nuestro equipo está a su disposición. Déjenos su consulta en nuestra sección de contacto y analizaremos su caso para ofrecerle una solución a medida.