Cómo controla un DPO los contratos de encargado de tratamiento
Quién trata datos por cuenta tuya, con qué contrato y con qué garantías.
Texto oficial: Reglamento (UE) 2016/679 en EUR-Lex. Esta ficha explica cómo se hace, no sustituye a la norma.
Antes de empezar necesitas
- Inventario de proveedores que tratan datos personales por cuenta tuya
- Los contratos de encargo firmados
- Las transferencias internacionales, si las hay
-
Inventaria quién trata datos por cuenta tuya
Es más gente de la que parece: la gestoría, el proveedor de correo, la plataforma de firma, el servicio de limpieza que accede a oficinas.
-
Comprueba que hay contrato de encargo con cada uno
Sin contrato del artículo 28 no debería haber tratamiento. Es el hallazgo más frecuente y el más fácil de corregir.
-
Revisa la lista de subencargados de cada encargado
Tu proveedor subcontrata, y esos también tratan tus datos. Tienes derecho a conocerlos y a oponerte.
-
Comprueba las transferencias internacionales
Dónde están los datos físicamente y con qué garantía se transfieren si salen del EEE.
-
Registra las medidas de seguridad declaradas
No basta con que el contrato las mencione: hay que poder decir cuáles son.
-
Programa la revisión periódica
Los proveedores cambian de subencargado y de ubicación sin avisarte, aunque deban hacerlo.
Matriz de control para cómo controla un dpo los contratos de encargado de tratamiento
No basta con completar los pasos: cada uno debe dejar una entrada identificada, una comprobación explícita y una evidencia que otra persona pueda revisar sin reconstruir el trámite.
| Paso | Entrada necesaria | Control de excepción | Evidencia de cierre |
|---|---|---|---|
| 1. Inventaria quién trata datos por cuenta tuya | Para cómo controla un dpo los contratos de encargado de tratamiento: Inventario de proveedores que tratan datos personales por cuenta tuya | En cómo controla un dpo los contratos de encargado de tratamiento, inventario incompleto: Casi siempre faltan los proveedores pequeños y los servicios accesorios. | El cierre de cómo controla un dpo los contratos de encargado de tratamiento responde a «¿Necesito contrato con todos los proveedores?»: Con los que traten datos personales por cuenta tuya, sí. Con los que sean responsables independientes, la figura es distinta. |
| 2. Comprueba que hay contrato de encargo con cada uno | Para cómo controla un dpo los contratos de encargado de tratamiento: Los contratos de encargo firmados | En cómo controla un dpo los contratos de encargado de tratamiento, contrato firmado y nunca revisado: La lista de subencargados cambia. | El cierre de cómo controla un dpo los contratos de encargado de tratamiento responde a «¿Cada cuánto revisar?»: Anual como mínimo, y siempre que el encargado notifique un cambio de subencargados. |
| 3. Revisa la lista de subencargados de cada encargado | Para cómo controla un dpo los contratos de encargado de tratamiento: Las transferencias internacionales, si las hay | En cómo controla un dpo los contratos de encargado de tratamiento, no comprobar dónde están los datos: Es la pregunta que llega en cualquier inspección. | El cierre de cómo controla un dpo los contratos de encargado de tratamiento responde a «¿Necesito contrato con todos los proveedores?»: Con los que traten datos personales por cuenta tuya, sí. Con los que sean responsables independientes, la figura es distinta. |
| 4. Comprueba las transferencias internacionales | Para cómo controla un dpo los contratos de encargado de tratamiento: Inventario de proveedores que tratan datos personales por cuenta tuya | En cómo controla un dpo los contratos de encargado de tratamiento, inventario incompleto: Casi siempre faltan los proveedores pequeños y los servicios accesorios. | El cierre de cómo controla un dpo los contratos de encargado de tratamiento responde a «¿Cada cuánto revisar?»: Anual como mínimo, y siempre que el encargado notifique un cambio de subencargados. |
| 5. Registra las medidas de seguridad declaradas | Para cómo controla un dpo los contratos de encargado de tratamiento: Los contratos de encargo firmados | En cómo controla un dpo los contratos de encargado de tratamiento, contrato firmado y nunca revisado: La lista de subencargados cambia. | El cierre de cómo controla un dpo los contratos de encargado de tratamiento responde a «¿Necesito contrato con todos los proveedores?»: Con los que traten datos personales por cuenta tuya, sí. Con los que sean responsables independientes, la figura es distinta. |
| 6. Programa la revisión periódica | Para cómo controla un dpo los contratos de encargado de tratamiento: Las transferencias internacionales, si las hay | En cómo controla un dpo los contratos de encargado de tratamiento, no comprobar dónde están los datos: Es la pregunta que llega en cualquier inspección. | El cierre de cómo controla un dpo los contratos de encargado de tratamiento responde a «¿Cada cuánto revisar?»: Anual como mínimo, y siempre que el encargado notifique un cambio de subencargados. |
Los errores que más lo devuelven
Casi siempre faltan los proveedores pequeños y los servicios accesorios.
La lista de subencargados cambia.
Es la pregunta que llega en cualquier inspección.
Preguntas frecuentes
¿Necesito contrato con todos los proveedores?
¿Cada cuánto revisar?
Texto listo para copiar y pegar en tu usuario
Completa los campos entre corchetes y pégalo para empezar a configurar el proceso con tu contexto.
Quiero poner en marcha este proceso: Cómo controla un DPO los contratos de encargado de tratamiento.
Mi contexto:
- Empresa o equipo: [indicar]
- Personas o sistemas que aportan información: [indicar]
- Destino final de los datos o documentos: [indicar]
- Frecuencia y fecha límite: [indicar]
Configura conmigo estos pasos:
1. Inventaria quién trata datos por cuenta tuya
2. Comprueba que hay contrato de encargo con cada uno
3. Revisa la lista de subencargados de cada encargado
4. Comprueba las transferencias internacionales
5. Registra las medidas de seguridad declaradas
6. Programa la revisión periódica
Para cada paso, pregúntame qué entra, quién responde, cómo se valida, qué ocurre si falla y qué evidencia queda. No inventes datos que no te haya facilitado.Procedimiento revisado el . Las normas cambian: si el sistema oficial no se parece a lo que lees aquí, manda la pantalla del sistema.
Cuando cambie algo de este trámite, te avisamos
Una vez al mes: qué obligación entra en vigor, a quién afecta y qué hay que empezar a pedir. Nada más.
Y si lo que quieres es que esto ocurra solo
Pedir el documento, insistir por el canal que el otro sí contesta, leerlo, comprobar que cuadra y dejarlo demostrable: es exactamente lo que hace Code Contract. Sin que la otra parte se registre en nada.
Programar una demo de 30 minutos