El contrato de encargo es el documento RGPD que una empresa de software firma más a menudo y lee menos. Cada cliente que introduce datos personales en el producto es un responsable, y el artículo 28, apartado 3, dice que el tratamiento que usted realiza se rige por un contrato con un contenido fijo: el objeto y la duración, la naturaleza y la finalidad, el tipo de datos personales y las categorías de interesados, las obligaciones y derechos del responsable, y ocho compromisos del encargado. La redacción cambia de un cliente a otro; las ocho cláusulas, no. Este artículo las lee desde el lado del proveedor y le entrega la lista de comprobación que las sigue, contrato a contrato.

Antes de las ocho cláusulas: quién firma, y qué pide primero el artículo 28

El artículo 28, apartado 1, solo permite a un responsable recurrir a encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Esa frase es la razón por la que el cuestionario de seguridad del cliente llega antes que el contrato: las garantías son lo que pide el cuestionario, y un certificado ISO 27001 cuyo alcance cubra el producto es la respuesta más corta.

El artículo 28, apartado 2, es la regla de los subencargados. El encargado no recurre a otro encargado sin la autorización previa por escrito, específica o general, del responsable; con una autorización general, el encargado informa al responsable de cualquier cambio previsto y le da la oportunidad de oponerse. Para una empresa SaaS, eso es la lista de subencargados en el sitio web y el plazo de preaviso en el contrato, y ahí empiezan la mayoría de las negociaciones. El artículo 28, apartado 4, exige después que las mismas obligaciones de protección de datos se trasladen por contrato a cada subencargado, y hace al primer encargado plenamente responsable ante el responsable del cumplimiento del subencargado.

El artículo 28, apartado 7, permitió a la Comisión adoptar cláusulas contractuales tipo para el propio contrato; lo hizo el 4 de junio de 2021, y un proveedor puede ofrecerlas en lugar de redactar. El artículo 28, apartado 10, es la trampa en el borde: un encargado que determina los fines y medios de un tratamiento se considera responsable de ese tratamiento, así que un proveedor que explota los datos de sus clientes para su propia analítica de producto ha abandonado el rol de encargado para ese uso.

Las ocho cláusulas del artículo 28, apartado 3, desde el lado del proveedor

(a) Instrucciones documentadas. El encargado trata los datos personales únicamente siguiendo instrucciones documentadas del responsable, transferencias a un tercer país incluidas, salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro, en cuyo caso informa antes al responsable. Para un SaaS, las instrucciones son el contrato, el formulario de pedido y la configuración del producto; la cláusula es la razón por la que los ajustes de administrador del cliente son un documento jurídico.

(b) Confidencialidad. Las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria. Los contratos de trabajo y los acuerdos con contratistas son la evidencia, y el registro de incorporación es donde mira un auditor.

(c) Seguridad. El encargado toma todas las medidas necesarias de conformidad con el artículo 32: la seudonimización y el cifrado, la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad de restauración y las pruebas periódicas. El sistema ISO 27001 es la respuesta a esta cláusula, y el cliente pedirá el alcance del certificado, no solo su existencia.

(d) Subencargados. Se respetan las condiciones del artículo 28, apartados 2 y 4: autorización, preaviso, traslado. La lista de subencargados es una cláusula del contrato, y el plazo de preaviso es la negociación.

(e) Asistencia con los derechos de los interesados. Teniendo en cuenta la naturaleza del tratamiento, el encargado asiste al responsable, mediante medidas técnicas y organizativas apropiadas, en la respuesta a las solicitudes con arreglo al capítulo III. En la práctica: las funciones de exportación, supresión y rectificación del producto, y un proceso de soporte para las solicitudes que el producto no puede resolver por sí solo.

(f) Asistencia con los artículos 32 a 36. Seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa: el encargado asiste, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga. La parte de violaciones es el plazo que el cliente hace correr: su notificación al responsable conforme al artículo 33, apartado 2, inicia sus 72 horas, y el contrato suele fijar con qué rapidez la envía.

(g) Supresión o devolución. Al finalizar la prestación de los servicios, a elección del responsable, el encargado suprime o devuelve todos los datos personales y suprime las copias existentes, a menos que el Derecho de la Unión o de un Estado miembro exija su conservación. La función de exportación, el calendario de supresión y la conservación de las copias de seguridad son las tres cosas de las que depende la cláusula.

(h) Información y auditorías. El encargado pone a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del responsable o de un auditor autorizado por él. El párrafo segundo del artículo 28, apartado 3, añade el deber que la mayoría de los contratos olvida: el encargado informa inmediatamente al responsable si, en su opinión, una instrucción infringe el Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. Un proveedor que acepta una instrucción ilícita sin decirlo comparte la responsabilidad por ella.

Responsabilidad y multa

El artículo 82, apartado 2, solo hace responsable a un encargado de los daños causados por el tratamiento cuando no ha cumplido las obligaciones dirigidas específicamente a los encargados o ha actuado al margen o en contra de las instrucciones legales del responsable, y el artículo 82, apartado 4, hace a los responsables y encargados que participan en el mismo tratamiento responsables solidarios ante el interesado. El artículo 83, apartado 4, letra a, fija el techo de multa para las obligaciones de los encargados conforme al artículo 28 en EUR 10 millones o el 2 % del volumen de negocio anual mundial. Las ocho cláusulas son lo que los abogados del cliente están valorando cuando envían la adenda.

Junto a las cláusulas: las cláusulas DORA que envía un cliente bancario

Cuando el cliente es un banco, una aseguradora, una empresa de servicios de inversión, una entidad de pago o de dinero electrónico, un proveedor de servicios de criptoactivos o un gestor de fondos, la misma adenda lleva las cláusulas contractuales del artículo 30 de DORA, en vigor desde el 17 de enero de 2025. Los dos juegos se solapan cláusula a cláusula: las instrucciones RGPD de (a) se sitúan junto a la descripción del servicio DORA de 30(2)(a); la seguridad de (c) junto a 30(2)(c); las condiciones de subencargo de (d) junto a las condiciones de subcontratación que exige 30(2)(a); la asistencia de (f) junto a la asistencia en incidentes de 30(2)(f); la supresión o devolución de (g) junto al acceso, la recuperación y la devolución de 30(2)(d); las auditorías de (h) junto a los derechos de acceso, inspección y auditoría de 30(3)(e). Solo los derechos de los interesados de (e) carecen de equivalente en DORA. La lista de comprobación cita la cláusula DORA junto a cada cláusula cuando usted indica que el cliente es una entidad financiera, y continúa en la lista de comprobación DORA con el mismo nombre de cliente, para que la negociación se lea una vez en lugar de dos.

Dejarlo por escrito

Abra la adenda del cliente junto a la lista de comprobación, marque cada cláusula como acordada, en negociación o ausente, y anote el número de cláusula y la redacción. El resultado es un documento por cliente para copiar o descargar, y la lista de cláusulas abiertas es el orden del día de la siguiente llamada. Guárdelo junto al registro de tratamientos que el contrato describe: las categorías de tratamientos del registro del encargado son las que nombra el objeto del contrato, y un cliente que lea ambos esperará que coincidan.