Normativa y datos
DPA (contrato de encargo del tratamiento)
Un DPA (data processing agreement) es el contrato que el art. 28.3 del RGPD exige entre el responsable del tratamiento y cada encargado: fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y de interesados, y las obligaciones y derechos de cada parte.
También se le llamacontrato de encargado del tratamiento · acuerdo de encargo del tratamiento · data processing agreement
Lo que tiene que decir
El art. 28.3 no deja el contenido a la imaginación. Además de describir el tratamiento, el contrato tiene que estipular que el encargado:
- trata los datos solo siguiendo instrucciones documentadas del responsable, también en lo que toca a enviarlos a un tercer país;
- garantiza que quien los trata está obligado a la confidencialidad;
- aplica las medidas de seguridad del art. 32;
- no recurre a otro encargado —un subencargado— sin autorización previa por escrito del responsable;
- ayuda al responsable a atender los derechos de los interesados y a cumplir los arts. 32 a 36;
- al terminar el servicio, suprime o devuelve los datos, a elección del responsable;
- pone a su disposición la información necesaria para demostrar que cumple, y permite auditorías.
Ojo con esto
Tiene que constar por escrito, aunque sea en formato electrónico (art. 28.9). Un «aceptamos vuestras condiciones» por correo no basta si no recoge ese contenido. Si el encargado trata los datos fuera de la UE, la transferencia necesita además una garantía, como las cláusulas contractuales tipo, y lo que trata por cuenta de cada cliente va a su propio ROPA. Quién es cada parte se explica en responsable y encargado del tratamiento; un ejemplo publicado es el contrato de encargo de Bedel.
Fuentes
Términos relacionados
- Responsable y encargado del tratamientoResponsable del tratamiento es quien decide para qué y cómo se tratan unos datos personales; encargado, quien los trata por cuenta del responsable. En una residencia, el centro es responsable de los datos de sus residentes, y el proveedor de software o el catering que los maneja por él es encargado.
- ROPA (registro de actividades de tratamiento)El ROPA, o registro de actividades de tratamiento, es el documento que el art. 30 del RGPD exige al responsable y al encargado: qué datos se tratan, para qué, de quién, a quién se comunican, si salen fuera de la UE, cuándo se suprimen y con qué medidas de seguridad. Se entrega a la autoridad de control que lo pida.
- Cláusulas contractuales tipoLas cláusulas contractuales tipo son modelos de contrato aprobados por la Comisión que dan garantías adecuadas para enviar datos personales fuera de la UE cuando el país de destino no tiene una decisión de adecuación. Las vigentes son las de la Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021.