El artículo 28 del RGPD regula la relación entre el responsable del tratamiento y el encargado del tratamiento (también denominado procesador). Es una de las disposiciones con mayor impacto práctico del Reglamento General de Protección de Datos: se aplica cada vez que una organización da acceso a datos personales a un tercero que los trata por su cuenta. Un proveedor de SaaS, una empresa de soporte informático con acceso remoto, un proveedor de servicios de email marketing, una gestoría que procesa nóminas – pueden actuar como encargados cuando tratan datos por cuenta del responsable. La función depende de la actividad real, no del nombre del servicio; un proveedor puede actuar como responsable para otros fines propios.
Puntos Clave
- El Art. 28(1) RGPD obliga al responsable a utilizar únicamente encargados que ofrezcan garantías suficientes de cumplimiento.
- El Art. 28(3) exige un contrato escrito (DPA) que especifique el objeto, duración, naturaleza, finalidad, tipo de datos y las obligaciones y derechos del responsable.
- El encargado no puede subcontratar sin autorización previa, específica o general, del responsable (Art. 28(2)).
- Al finalizar el servicio, el encargado debe suprimir o devolver los datos a elección del responsable y suprimir las copias, salvo conservación exigida por el Derecho de la Unión o de un Estado miembro (Art. 28(3)(g)).
- Las infracciones del Art. 28 se sancionan con multas de hasta 10 millones EUR o el 2% del volumen de negocio anual global (Art. 83(4)).
Cuándo se aplica el artículo 28 RGPD
El artículo 28 RGPD se aplica siempre que un encargado del tratamiento trate datos personales por cuenta de un responsable del tratamiento. La distinción entre ambas figuras es fundamental:
- El responsable (Art. 4(7)) determina los fines y medios del tratamiento.
- El encargado (Art. 4(8)) trata los datos personales por cuenta del responsable.
En la práctica, estas son situaciones típicas de aplicación del artículo 28:
- Una empresa utiliza un CRM o software de RRHH en modo SaaS: el editor actúa como encargado para el tratamiento que realiza por cuenta de la empresa.
- Una empresa contrata soporte informático con acceso remoto a los equipos: la empresa de IT será encargada cuando el servicio incluya tratamiento por cuenta del responsable; el mero riesgo de acceso incidental requiere una evaluación de la relación.
- Un proveedor de SaaS utiliza un subcontratista para el envío de SMS: el subcontratista es subencargado, y el Art. 28 se aplica también a la relación encargado-subencargado.
Para una comprensión detallada del concepto de encargado, consulte nuestra guía sobre qué es un encargado del tratamiento.
Obligaciones principales del artículo 28
Selección del encargado (Art. 28(1))
El responsable del tratamiento debe utilizar únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Esto implica una evaluación previa del nivel de cumplimiento del encargado. Conserve la evaluación y las evidencias utilizadas para seleccionar al proveedor.
Para distinguir ambas funciones, consulte las orientaciones de la AEPD sobre la función de responsable y encargado. Para evaluar las garantías del proveedor, examine: la existencia de medidas de seguridad adecuadas (Art. 32), la certificación o adhesión a códigos de conducta (Art. 28(5)), la capacidad de cumplir con los plazos de notificación de brechas, la experiencia y fiabilidad del proveedor y la ubicación geográfica del tratamiento (implicaciones para transferencias internacionales).
Contrato de encargo obligatorio (Art. 28(3))
El Art. 28(3) RGPD exige un contrato escrito (o acto jurídico vinculante) entre el responsable y el encargado. Este contrato, conocido como DPA (Data Processing Agreement) o contrato de encargo del tratamiento, debe estipular como mínimo:
- Objeto y duración del tratamiento.
- Naturaleza y finalidad del tratamiento.
- Tipo de datos personales y categorías de interesados.
- Obligaciones y derechos del responsable del tratamiento.
- Obligaciones del encargado, que incluyen:
(a) Tratar los datos únicamente conforme a las instrucciones documentadas del responsable.
(b) Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
© Adoptar todas las medidas de seguridad requeridas por el Art. 32 RGPD.
(d) Respetar las condiciones para recurrir a subencargados (Art. 28(2) y (4)).
(e) Asistir al responsable en la atención de solicitudes de ejercicio de derechos de los interesados.
(f) Asistir al responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 (seguridad, brechas, evaluaciones de impacto).
(g) Suprimir o devolver los datos a elección del responsable al terminar el servicio y suprimir las copias existentes, salvo que la ley exija conservarlos.
(h) Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir y contribuir a auditorías, incluidas inspecciones. El encargado debe informar inmediatamente si considera que una instrucción infringe las normas de protección de datos.
La guía de la AEPD sobre contratos de encargo ofrece criterios y modelos que deben adaptarse al tratamiento concreto.
Subencargados (Art. 28(2) y (4))
El encargado no puede recurrir a otro encargado (subencargado) sin la autorización previa del responsable. Esta autorización puede ser específica (para cada subencargado) o general (con obligación de informar al responsable de cualquier cambio, dándole la oportunidad de oponerse).
El Art. 28(4) exige que las mismas obligaciones del contrato principal se impongan al subencargado. Si el subencargado incumple, el encargado inicial sigue siendo plenamente responsable ante el responsable del tratamiento.
Cómo cumplir con el artículo 28 en la práctica
Paso 1: Inventariar todos los encargados
Realice un inventario exhaustivo de todos los proveedores y terceros que acceden a datos personales de la organización. Esto incluye proveedores de cloud, herramientas SaaS, servicios de marketing, consultoras, empresas de soporte técnico y cualquier tercero con acceso a sistemas que contengan datos personales.
Paso 2: Evaluar las garantías de cada encargado
Evalúe el nivel de cumplimiento de cada encargado: medidas de seguridad, políticas de protección de datos, certificaciones, localización del tratamiento y cadena de subencargados. Clasifique los resultados en tres categorías: conformes, en proceso de adecuación, no conformes.
Paso 3: Formalizar los contratos de encargo
Para cada relación encargado-responsable, asegúrese de que existe un DPA conforme al Art. 28(3). Utilice las cláusulas contractuales tipo publicadas por las autoridades de control o las CCT de la Comisión Europea cuando proceda. El contrato debe adaptarse a la realidad del tratamiento, no limitarse a un modelo genérico.
Paso 4: Supervisar y auditar
El Art. 28(3)(h) da al responsable el derecho a auditar al encargado. Establezca un programa de revisión periódica que incluya la verificación del cumplimiento de las instrucciones, la revisión de medidas de seguridad y la comprobación de la cadena de subencargados.
Sanciones por incumplimiento del artículo 28
Marco sancionador
Las infracciones del artículo 28 se sancionan conforme al Art. 83(4) del RGPD, con multas de hasta 10 millones EUR o el 2% del volumen de negocio anual global, lo que sea mayor.
Aplicación al caso concreto
El máximo legal no equivale a una sanción automática. Antes de citar una resolución, compruebe el expediente, los artículos infringidos, el importe y su situación procesal. Para delimitar las funciones, aplique directamente el artículo 28(10): si un encargado determina los fines y medios infringiendo el Reglamento, será considerado responsable respecto de ese tratamiento. La calificación depende de los hechos, aunque el contrato lo denomine encargado.
FAQ
¿Qué debe incluir un contrato de encargo del tratamiento según el Art. 28 RGPD?
El Art. 28(3) exige que el contrato especifique el objeto y duración del tratamiento, la naturaleza y finalidad, los tipos de datos personales tratados, las categorías de interesados y las obligaciones y derechos del responsable. Las obligaciones del encargado incluyen tratar los datos solo conforme a instrucciones documentadas, garantizar la confidencialidad, adoptar medidas de seguridad (Art. 32), respetar las reglas sobre subencargados, asistir en el ejercicio de derechos y devolver o suprimir los datos al finalizar el servicio en las condiciones del artículo 28(3)(g).
¿Es obligatorio tener un contrato de encargo con cada proveedor de SaaS?
Es obligatorio para el tratamiento que el proveedor realiza como encargado por cuenta del responsable, mediante contrato u otro acto jurídico vinculante y por escrito, incluido el formato electrónico. Determine primero la función efectiva: un proveedor que trata datos para fines propios no se convierte en encargado por firmar un DPA. El volumen de datos no crea por sí solo una excepción al artículo 28.
¿Puede un encargado utilizar subencargados sin comunicarlo al responsable?
No. El Art. 28(2) exige una autorización previa, específica o general, del responsable. En caso de autorización general, el encargado debe informar al responsable de cualquier adición o sustitución de subencargados, otorgándole la oportunidad de oponerse. Si no se sigue este procedimiento, la AEPD puede sancionar tanto al encargado como al responsable.
¿Cuáles son las sanciones por no cumplir con el artículo 28 RGPD?
El Art. 83(4) establece multas de hasta 10 millones EUR o el 2% del volumen de negocio anual global. Para una empresa se aplica el importe que sea mayor; la sanción concreta depende de las circunstancias del artículo 83(2), no de una tarifa fija por contrato ausente.