Modelo de contrato de encargo para el tratamiento de los datos personales

Nos encontramos ante un contrato cuyo objeto no es otro que el tratamiento de datos de naturaleza personal entre dos partes: el llamado «responsable de tratamiento» y el «encargado de tratamiento».

La dificultad de estos contratos reside, precisamente, en entender cuál es el rol de cada una de las partes y las diferencias existentes entre los mismos, que podemos resumir en:

• El responsable de tratamiento es la persona, física o jurídica, titular de los datos que tratará los mismos en base a los límites establecidos por sus clientes.
• El encargado de tratamiento es la persona, física o jurídica, que se encargará del acceso y recopilación de los datos para facilitarlos al responsable según las instrucciones dadas por este último. No son los propietarios de los datos, sino que se limitan a trasladarlos a su cliente (responsable) cumpliendo con la normativa vigente. Para entenderlo de forma más sencilla, es habitual que los encargados de tratamiento sean empresas de videovigilancia: tienen acceso directo a la fuente de original de la que surgen los datos y los «procesan» cumpliendo la normativa vigente para trasladaros a terceros titulares de esos datos.  

Conociendo el alcance de las precitadas partes, podemos destacar ahora algunas de las cláusulas objeto del contrato:

• Debe dejarse claro de qué modo accederá el encargado a los datos y el tratamiento que se hará de los mismos para trasladarlos al responsable. A este respecto, es importante destacar que el encargado tiene la obligación de informar al responsable de cualquier tratamiento ilícito o no ajustado a derecho en las instrucciones dadas para su procesamiento (estipulación primera).
• El encargado de tratamiento designará a un delegado de protección de datos (DPD) así como un registro de actividades de tratamiento que haga el mismo (estipulación primera).
• El encargado de tratamiento será el que facilite o ayude a dar cumplimiento a los derechos contenidos en los artículos 15 y siguientes de la RGPD y 12 y siguientes de la LOPDGDD, esto es, acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición (estipulación segunda).
• El encargado también notificará a las autoridades de control cualquier violación detectada en el tratamiento de los datos; también realizará las evaluaciones de impacto (EIPD) y la remisión de toda aquella información que demuestre el cumplimiento, por parte del responsable de tratamiento, de las obligaciones inherentes a sus funciones (estipulación tercera).
• La estipulación quinta es importante de cara a entender la importancia del encargado de tratamiento, ya que debe acreditar que contiene «suficientes garantías» para el ejercicio de sus funciones.
• Se prohíbe la subcontratación o subrogación del encargado de tratamiento, salvo con las excepciones estipuladas en el propio contrato. En caso de que esta subcontratación tenga lugar, se hará en base a lo indicado en las instrucciones originales.
• El encargado de tratamiento no puede divulgar información a la que tenga acceso por el ejercicio de su actividad; y a este respecto, ambas partes (responsable y encargado) quedan obligadas al secreto profesional, extensible más allá del término de tratamiento (art. 90 del RGPD). Estipulación octava.
• El responsable puede realizar, en cualquier momento, aquella acción o medida que permita comprobar el correcto cumplimiento de las obligaciones asumidas por el encargado (estipulación novena).