Revisar el DPA: los puntos que fallan en la práctica
Cómo revisar con eficacia un contrato de encargo del tratamiento (DPA) en cuanto a subproveedores, derecho a impartir instrucciones y cláusulas de auditoría, para evitar multas elevadas.
Martin Semmele
Conclusiones clave
- Un DPA ausente o deficiente puede acarrear multas, dentro del marco legal de hasta 10 millones de euros.
- Cuando el proveedor incorpora nuevos subproveedores, necesitas en el contrato un derecho de oposición real.
- Para cumplir el plazo de notificación de 72 horas en caso de violación de datos, el DPA tiene que obligar al proveedor de servicios a informarte rápido.
- Tras el fin del contrato tiene que estar claramente regulado cómo y cuándo se eliminan por completo tus datos.
Por qué la revisión del DPA se atasca en el día a día
Cuando contratas software para tu empresa, las herramientas externas tratan casi siempre datos personales de tu clientela. Según el art. 28 RGPD, un contrato de encargo del tratamiento es una obligación legal. Si ese contrato falta o presenta lagunas, se exponen multas conforme al art. 83(4) RGPD de hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual mundial1. Que también se sancionan las infracciones pequeñas lo muestra un caso de Hamburgo: una empresa de venta por correspondencia recibió una multa de 5.000 euros más 250 euros de tasas porque no había firmado ningún contrato de encargo del tratamiento con un proveedor de servicios contratado2.
El caos de papeles en el día a día de la empresa.
La realidad en las pequeñas y medianas empresas suele ser distinta de la del manual. Los contratos estándar de los proveedores de software abarcan a menudo decenas de páginas de cláusulas jurídicas. Sin un departamento jurídico propio, en el día a día se pierde tiempo valioso. La dirección y los responsables de equipo se enfrentan al reto de valorar riesgos sin pasarse horas revisando textos legales.
Una revisión estructurada protege a tu empresa de sorpresas desagradables. En lugar de negociar cada frase con el abogado, te concentras en los puntos críticos en los que los contratos fallan en la práctica. Esta guía no constituye asesoramiento jurídico, sirve de orientación operativa. Si una cláusula deja dudas, conviene remitirla a una revisión jurídica.
- Subproveedores: ¿quién trata tus datos en segundo plano?
- Derecho a impartir instrucciones: ¿conservas el control total sobre el software?
- Derechos de auditoría: ¿hasta qué punto son demostrables las medidas de protección?
- Plazos de notificación: ¿te avisan a tiempo cuando ocurre algo?
- Eliminación: ¿qué pasa con tus datos tras la cancelación?
La lista de subencargados: ¿quién más lee tus datos?
Ningún servicio en la nube moderno opera por su cuenta toda su infraestructura. Los proveedores de SaaS utilizan centros de datos externos para el alojamiento, terceros para el envío de correo electrónico o motores de búsqueda especializados para el análisis de datos. En el derecho de protección de datos, estos proveedores de servicios se llaman subprocesadores o subencargados del tratamiento.
La transparencia gana a las promesas generales.
Un contrato sólido nombra a todos los subproveedores empleados con nombre, función y sede de la empresa. El punto crítico está en los cambios de esa lista. Si el contrato permite al proveedor incorporar nuevos subproveedores sin tu consentimiento expreso, pierdes el control sobre el recorrido de los datos.
Necesitas una notificación garantizada por contrato antes de cada cambio. El contrato tiene que concederte un plazo razonable de al menos 14 días para oponerte a la incorporación de un nuevo subproveedor. Si no incluye un derecho de oposición o la información llega solo a través de una página web escondida, la regulación no cumple los requisitos de un tratamiento de datos seguro.
| Regulación en el DPA | Efecto en la práctica | Valoración |
|---|---|---|
| Autorización previa general | El proveedor puede incorporar nuevos proveedores de servicios en cualquier momento. | Crítico |
| Información por correo electrónico con un plazo de 14 días | Recibes aviso activo y puedes oponerte si tienes reparos. | Conforme al RGPD |
| Lista transparente con ubicación en la UE | Claridad sobre todos los lugares de tratamiento y proveedores de servicios. | Óptimo |
El derecho a impartir instrucciones: límites del control en el día a día del SaaS
Como cliente sigues siendo el propietario legal de los datos tratados y el responsable del tratamiento. El proveedor de servicios solo puede tratar tus datos exactamente como tú se lo indiques. Este derecho a impartir instrucciones es el núcleo del encargo del tratamiento conforme al art. 28 RGPD.
Cómo funcionan las instrucciones en la práctica.
Con software estandarizado rara vez das instrucciones por carta o por correo electrónico. La configuración de la aplicación, la activación de funciones o el ajuste de plazos de eliminación en la interfaz cuentan como instrucción técnica. El contrato tiene que dejar sentado que el uso del software vale como instrucción tuya.
Un punto que se pasa por alto a menudo es el deber de advertencia del proveedor. El contrato tiene que obligar al proveedor de servicios a informarte sin dilación cuando una instrucción tuya infrinja el derecho de protección de datos. Si falta esa cláusula, cargas tú solo con todo el riesgo de configuraciones ilícitas.
- Determinación clara: los ajustes del software valen como instrucción jurídicamente válida.
- Forma documentada: la forma textual por correo electrónico o sistema de tickets es suficiente.
- Deber activo de advertencia: el proveedor te informa cuando una instrucción es ilícita.
- Límites a los cambios: el proveedor no puede ajustar las instrucciones por su cuenta.
Derechos de auditoría: entre el papel y las verificaciones reales
El RGPD te obliga a controlar con regularidad que el proveedor de servicios cumple las medidas técnicas y organizativas. Sin embargo, una auditoría in situ en el centro de datos del proveedor es prácticamente imposible en los servicios en la nube. Ningún centro de datos concede a visitantes ajenos acceso libre a las salas de servidores.
Los certificados como vía de comprobación pragmática.
Por eso el contrato tiene que fijar medidas sustitutivas claras para las auditorías físicas. Los informes de auditoría reconocidos según ISO 27001, SOC 2 o BSI C5 acreditan la seguridad de la infraestructura a través de terceros independientes. Es importante que el proveedor te facilite esas pruebas de forma gratuita y sin largas demoras.
Un contrato que vincula los derechos de verificación a tasas elevadas o excluye las auditorías de forma general no es aceptable. Tienes que conservar el derecho a exigir información adicional cuando existan dudas fundadas o después de incidentes de seguridad.
En la práctica tienes tres vías de comprobación. Una auditoría in situ ofrece la visión más directa, pero exige viaje, coordinación de fechas y personal especializado propio, y los grandes proveedores en la nube no suelen concederla en absoluto. Los certificados e informes de auditoría reconocidos según ISO 27001, SOC 2 o BSI C5 los elaboran auditores independientes y suelen poder solicitarse de inmediato, a ti solo te queda leerlos frente a tus propios requisitos. Los cuestionarios están en medio: responden a tus preguntas específicas, pero exigen que formules las preguntas y valores las respuestas por tu cuenta, y el proveedor necesita tiempo para contestar.
Plazos de notificación: cuando cada hora cuenta
Si en el proveedor de servicios se produce una brecha de seguridad, el reloj corre. Según el art. 33 RGPD tienes que notificar una violación de la seguridad de los datos personales a la autoridad de control competente en un plazo de 72 horas desde que tienes conocimiento de ella3. Ese plazo corre de forma ininterrumpida, también en fines de semana y festivos3.
Sin dilación no basta como palabra.
El legislador exige al encargado del tratamiento que informe sin dilación al responsable del tratamiento sobre los incidentes de seguridad3. En el contrato, esa palabra indeterminada debería precisarse con una indicación de tiempo concreta. Si el proveedor te informa solo al cabo de dos días, te quedan pocas horas para tus propios análisis.
Acuerda en el contrato un plazo de notificación de 24 a 48 horas como máximo desde el descubrimiento del incidente. El proveedor tiene que transmitirte toda la información disponible sobre el alcance de la brecha, las categorías de datos afectadas y las contramedidas adoptadas.
- Marco temporal concreto: aviso a ti en un plazo máximo de 24 a 48 horas.
- Datos completos: tipo de incidente, personas afectadas y categorías de datos.
- Persona de contacto: designación de un contacto directo para emergencias.
- Deber de documentación: informe escrito sobre las causas y las contramedidas.
Eliminación tras el fin del contrato: el corte limpio
Tras el fin de la colaboración, tus datos no pueden quedarse en los servidores del proveedor de servicios. El art. 28(3), frase 1, letra g) del RGPD establece que todos los datos personales se eliminen por completo o se devuelvan, a elección del cliente.
Obstáculos ocultos en la cancelación.
En la práctica, algunos proveedores intentan cobrar por las exportaciones de datos o imponer plazos de conservación largos. Un contrato en condiciones asegura que la exportación de tus datos en un formato habitual como JSON o CSV sea posible de forma gratuita.
Fíjate en que haya una confirmación escrita de la eliminación. El proveedor de servicios tiene que confirmar por escrito, dentro de un plazo definido, la eliminación definitiva de todas las copias, también en las copias de seguridad. Las obligaciones legales de conservación del proveedor son la única excepción.
- Derecho de elección: decisión entre la eliminación completa y la devolución de los datos.
- Formato habitual: exportación gratuita de todas las estructuras de datos.
- Eliminación en copias de seguridad: eliminación en las copias dentro de un plazo razonable.
- Confirmación: prueba escrita de la eliminación realizada.
Un ejemplo de la práctica: soporte sin dolores de cabeza por el DPA
Que el software moderno de atención al cliente y una privacidad fiable encajan lo demuestra ComLayer. Como plataforma para el soporte al cliente con IA, la herramienta trata solicitudes de la clientela por encargo de las empresas. Todos los contenidos y conversaciones permanecen en regiones europeas.
Automatización sin zonas grises jurídicas.
Para el cumplimiento de todos los requisitos de privacidad, ComLayer pone a disposición un contrato de encargo del tratamiento revisado. Los proveedores de servicios empleados se nombran abiertamente. La IA no utiliza los datos de clientes para fines de entrenamiento propios. Así se puede usar IA conforme al RGPD en el soporte sin crear inseguridad jurídica.
El modelo de precios flexible permite empezar a equipos de cualquier tipo. La oferta arranca con la variante Free por 0 euros al mes para probar. Para un soporte con IA productivo está el plan Pro desde 49 euros al mes más 12 euros por puesto, mientras que el plan Scale cubre volúmenes mayores por 199 euros al mes.
- Alojamiento en la UE: todos los contenidos permanecen en servidores europeos.
- DPA transparente: modelos de contrato listos conforme al art. 28 RGPD disponibles.
- Sin entrenamiento de modelos: tu base de conocimiento sigue siendo tu propiedad protegida.
- Comunicación abierta: todos los subproveedores se enumeran de forma transparente.
Preguntas frecuentes
¿Cuándo necesito exactamente un DPA?
Un DPA es obligatorio según el art. 28 RGPD siempre que un proveedor de servicios externo, por ejemplo un proveedor de software en la nube, trate datos personales para ti siguiendo tus instrucciones.
¿Quién tiene que facilitar el DPA?
En la práctica suele ser el proveedor de servicios quien aporta el borrador del contrato. Como cliente, sin embargo, sigues siendo el responsable legal de que el DPA cumpla las estrictas exigencias del RGPD.
¿Qué pasa si no firmo ningún DPA?
La falta de DPA es un riesgo de cumplimiento serio. En un caso de Hamburgo, la autoridad de control impuso a una empresa de venta por correspondencia una multa de 5.000 euros más 250 euros de tasas. El máximo legal está en 10 millones de euros o el 2 por ciento del volumen de negocio anual mundial.
¿Puedo sustituir los derechos de auditoría por certificados?
Sí. Como los controles in situ son a menudo imposibles en los grandes proveedores de SaaS, los derechos de auditoría pueden cubrirse con certificados reconocidos como la ISO 27001 o con informes de auditores independientes.
¿Cuánto tiempo tengo para notificar una violación de datos en el proveedor de servicios?
Si una violación de la seguridad de los datos personales supone un riesgo para las personas afectadas, tienes que notificarla conforme al art. 33 RGPD en un plazo de 72 horas a la autoridad de control competente.