Artículo 28 del RGPD: Aspectos esenciales para los encargados del tratamiento de datos

El artículo 28 del RGPD (Reglamento General de Protección de Datos) trata sobre el contrato escrito entre el responsable del tratamiento y el encargado del tratamiento (o subencargado del tratamiento). Este contrato autoriza legalmente a los encargados del tratamiento a procesar datos personales en nombre del responsable del tratamiento. Este contrato también se conoce como Acuerdo de Procesamiento de Datos (APD).

Aquí tienen un ejemplo de un acuerdo de procesamiento diferido (DPA) estándar y la información que contiene.

Si su organización actúa como Encargado del Tratamiento de Datos, deberá cumplir con el artículo 28 del RGPD, aportando pruebas de las garantías exigidas. En este artículo, explicamos los requisitos para los Encargados del Tratamiento y los pasos necesarios para obtener dicha condición. Si actúa como Responsable del Tratamiento, también encontrará información al respecto.

Como Responsable del Tratamiento, es su responsabilidad obtener legalmente un contrato firmado por el Encargado del Tratamiento. Dicho contrato debe especificar las funciones y obligaciones que el Encargado del Tratamiento debe cumplir, así como incluir los derechos del Responsable del Tratamiento.

Para simplificarlo, el Responsable del tratamiento es, en última instancia, responsable de los datos personales utilizados, y es su responsabilidad garantizar que los encargados del tratamiento se incorporen de la forma legal.

¿Qué es el artículo 28 del RGPD??

El artículo 28 del RGPD trata sobre el contrato escrito entre un responsable del tratamiento de datos y un encargado del tratamiento (o un subencargado del tratamiento) y establece los límites jurídicamente vinculantes de su relación.

Según el artículo 28 del RGPD: Cuando el Procesador acepta procesar datos personales en nombre del Responsable del tratamiento. Por ejemplo,

Esto también se aplica cuando un procesador subcontrata la actividad de procesamiento de datos a un subprocesador.

Los encargados del tratamiento de datos deben seguir todas las directrices escritas facilitadas por el Responsable del tratamiento al procesar sus datos.

En circunstancias excepcionales, de acuerdo con las normas de gobernanza local, el Procesador debe notificar al Responsable del Tratamiento sobre el requisito legal. El Responsable del Tratamiento debe ser notificado antes de que el Procesador procese sus datos.

El artículo 28 es válido incluso cuando los datos personales se transfieren a un encargado del tratamiento en un tercer país. Los encargados del tratamiento deben cumplir con los requisitos de seguridad del artículo 32 del RGPD, implementando medidas técnicas y organizativas que incluyen la seudonimización, el cifrado y las pruebas periódicas para garantizar la seguridad de los datos personales.

Artículo 28 del RGPD, apartado 1: Selección del encargado del tratamiento de datos.

El apartado 1 del artículo 28 del RGPD trata sobre los criterios de selección que el responsable del tratamiento debe cumplir al elegir un encargado del tratamiento para procesar sus datos. 

El responsable del tratamiento solo debe trabajar con encargados del tratamiento que puedan aportar pruebas de sus medidas de seguridad técnicas y organizativas para garantizar la integridad de los datos y de que las medidas desplegadas cumplen los requisitos del RGPD.

Esto es para garantizar que no se violen los derechos de datos de los usuarios.

Artículo 28 del RGPD, párrafo 2: Colaboración con subencargados del tratamiento de datos.

Los encargados del tratamiento de datos solo pueden involucrar a subencargados en las actividades de tratamiento tras obtener el consentimiento o la aprobación por escrito del responsable del tratamiento. En los casos en que se requiere dicho consentimiento, el encargado del tratamiento debe informar al responsable del tratamiento sobre el grado de participación del subencargado en la actividad de tratamiento. Esto permite al responsable del tratamiento rechazar u oponerse a la participación del subencargado si considera que este no es idóneo para realizar la tarea con la eficiencia deseada.

Artículo 28 Párrafo 3 del RGPD: Gobernanza de la actividad de tratamiento de datos

El apartado 3 del artículo 28 del RGPD exige que el Responsable del tratamiento celebre un contrato con el Encargado del tratamiento en el que el contratista indique la duración del tratamiento de los datos, la naturaleza de los datos, defina la finalidad del tratamiento, el tipo de datos que se tratarán, incluya las categorías de interesados ​​y enumere todos los derechos y obligaciones que le corresponden al Responsable del tratamiento.

Aquí tienes una descripción de nueve puntos del párrafo 2 del artículo 28 del RGPD.

1) Las actividades de procesamiento del RGPD por parte del Procesador deben estar en consonancia con los requisitos escritos transmitidos por un Responsable del tratamiento.

2) Un procesador de datos debe permitir el acceso a los datos personales únicamente a aquellos comprometidos con la obligación de confidencialidad de los datos.

3) Los encargados del tratamiento de datos deben implementar y demostrar todas las medidas de seguridad técnicas mencionadas en el artículo 32 del RGPD.

4) Los encargados del tratamiento de datos no podrán incluir a un subencargado del tratamiento sin la aprobación por escrito del responsable del tratamiento. 

5) Cuando un procesador de datos incluye un subprocesador en la actividad de procesamiento de datos, el subprocesador también está obligado a cumplir con todos los requisitos y obligaciones que se aplican a un procesador.

6) De acuerdo con los derechos de acceso del interesado, el encargado del tratamiento está obligado a responder y cumplir con todas las obligaciones del responsable del tratamiento.

7) Se espera que los encargados del tratamiento de datos presten asistencia a los responsables del tratamiento para garantizar el cumplimiento. Esto se realiza teniendo en cuenta el acceso del encargado del tratamiento a la información y la naturaleza del tratamiento de datos en el que participa. Por lo tanto, están obligados a prestar su asistencia para cumplir con los artículos 32, 33, 34, 35 y 36.

8) Los procesadores están obligados a eliminar los datos cuando un controlador realiza una solicitud por escrito al respecto. En algunos casos, también se les podría solicitar que devuelvan los datos.

9) El Procesador deberá presentar un mapeo detallado de sus sistemas y medidas para garantizar el cumplimiento del RGPD. Asimismo, deberá remitir sus informes de auditoría periódicos, participar en las inspecciones y someterse a las auditorías independientes realizadas por el Responsable del Tratamiento o por un organismo auditor designado por este.

¿Necesito un acuerdo de procesamiento de datos?

Sí, necesitará un Acuerdo de Procesamiento de Datos o un contrato, incluso si usted es el responsable del tratamiento, el encargado del tratamiento o el subencargado del tratamiento.

Los responsables del tratamiento deben asegurarse de que sus encargados del tratamiento firmen el contrato y estén informados de sus obligaciones y responsabilidades antes de procesar datos personales.

Un encargado del tratamiento emitirá un contrato o un acuerdo de protección de datos (APD) a un subencargado del tratamiento cuando este se incorpore a la actividad de tratamiento. Este contrato obliga legalmente al subencargado del tratamiento a implementar los requisitos técnicos y organizativos exigidos por el RGPD para lograr el cumplimiento. 

Contenido oficial del artículo 28 del RGPD

Aquí les ofrecemos un breve adelanto del contenido del borrador oficial del artículo 28 del RGPD y cómo afecta a los responsables y encargados del tratamiento de datos.

1. Cuando el tratamiento se realice por cuenta de un responsable del tratamiento, este solo podrá utilizar encargados del tratamiento que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas adecuadas de forma que el tratamiento cumpla los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.

2. El Procesador no podrá contratar a otro procesador sin la autorización previa, específica o general, por escrito del Responsable del Tratamiento. En caso de autorización general por escrito, el Procesador deberá informar al Responsable del Tratamiento sobre cualquier cambio previsto en relación con la incorporación o sustitución de otros procesadores, otorgándole así al Responsable del Tratamiento la oportunidad de oponerse a dichos cambios.

3. El tratamiento realizado por un encargado del tratamiento se regirá por un contrato u otro acto jurídico, conforme al Derecho de la Unión o de los Estados miembros, que sea vinculante para el encargado del tratamiento frente al responsable del tratamiento y que establezca el objeto y la duración del tratamiento, la naturaleza y la finalidad del mismo, el tipo de datos personales y las categorías de interesados, así como las obligaciones y los derechos del responsable del tratamiento. Dicho contrato u otro acto jurídico estipulará, en particular, que el encargado del tratamiento:

(a) procesa los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, incluso en lo que respecta a las transferencias de datos personales a un tercer país o a una organización internacional, a menos que así lo exija la legislación de la Unión o de un Estado miembro a la que esté sujeto el Encargado del tratamiento; en tal caso, el Encargado del tratamiento informará al Responsable del tratamiento de dicho requisito legal antes del procesamiento, a menos que dicha legislación prohíba dicha información por razones importantes de interés público;

b) garantiza que las personas autorizadas a procesar los datos personales se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal apropiada de confidencialidad.

c) adopta todas las medidas requeridas de conformidad con el artículo 32.

d) respeta las condiciones a que se refieren los apartados 2 y 4 para la contratación de otro encargado del tratamiento.

e) teniendo en cuenta la naturaleza del tratamiento, asiste al Responsable del tratamiento mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para el cumplimiento de la obligación del Responsable del tratamiento de responder a las solicitudes de ejercicio de los derechos del interesado establecidos en el Capítulo III.

f) ayuda al Responsable del tratamiento a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, ​​teniendo en cuenta la naturaleza del tratamiento y la información disponible para el Encargado del tratamiento.

g) a elección del Responsable del tratamiento, elimina o devuelve todos los datos personales al Responsable del tratamiento una vez finalizada la prestación de los servicios relacionados con el tratamiento, y elimina las copias existentes, salvo que la legislación de la Unión o de un Estado miembro exija el almacenamiento de los datos personales.

h) pone a disposición del Contralor toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo y permite y contribuye a las auditorías, incluidas las inspecciones, realizadas por el Contralor u otro auditor designado por este.

En lo que respecta al punto h) del primer párrafo, el Encargado del Tratamiento informará inmediatamente al Responsable del Tratamiento si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones de protección de datos de la Unión o de los Estados miembros.

4. Cuando un encargado del tratamiento contrata a otro para llevar a cabo actividades de tratamiento específicas en nombre del responsable del tratamiento, se le impondrán, mediante contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos establecidas en el contrato u otro acto jurídico celebrado entre el responsable del tratamiento y el encargado del tratamiento a que se refiere el apartado 3, en particular, garantías suficientes para aplicar medidas técnicas y organizativas adecuadas de forma que el tratamiento cumpla los requisitos del presente Reglamento. Si dicho encargado del tratamiento incumple sus obligaciones de protección de datos, el encargado del tratamiento inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por el cumplimiento de las obligaciones de dicho encargado.

5. La adhesión de un procesador a un código de conducta aprobado, como se menciona en el artículo 40, o a un mecanismo de certificación aprobado, como se menciona en el artículo 42, puede utilizarse como un elemento para demostrar garantías suficientes, como se menciona en los párrafos 1 y 4 del presente artículo.

6. Sin perjuicio de un contrato individual entre el Responsable del tratamiento y el Encargado del tratamiento, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, incluso cuando formen parte de una certificación otorgada al Responsable del tratamiento o al Encargado del tratamiento de conformidad con los artículos 42 y 43.

7. La Comisión podrá establecer cláusulas contractuales tipo para las materias a que se refieren los apartados 3 y 4 del presente artículo y de conformidad con el procedimiento de examen a que se refiere el artículo 93, apartado 2.

8. Una autoridad supervisora ​​podrá adoptar cláusulas contractuales tipo para las materias a que se refieren los párrafos 3 y 4 del presente artículo y de conformidad con el mecanismo de coherencia a que se refiere el artículo 63.

9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 deberá constar por escrito, incluso en formato electrónico.

10. Sin perjuicio de los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y los medios del tratamiento, se considerará que el encargado del tratamiento es un responsable del tratamiento respecto de ese tratamiento.

Preguntas frecuentes