Normativa y datos
Subencargado del tratamiento
Un subencargado es otro encargado al que recurre el encargado del tratamiento para hacer parte del trabajo por cuenta del responsable, como quien aloja en la nube el software de gestión del centro. Solo puede incorporarse con autorización previa por escrito del responsable (art. 28.2 del RGPD).
También se le llamasubprocesador · subcontratista del tratamiento · sub-processor
Cómo se autoriza y quién responde
El RGPD no usa la palabra: habla de «otro encargado» (art. 28.2 y 28.4). Si el centro contrata un software de gestión, ese proveedor es su encargado (ver responsable y encargado); si el software corre en servidores de un tercero, ese tercero es un subencargado. La AEPD distingue dos formas de autorizarlo:
| Autorización específica | Autorización general | |
|---|---|---|
| Qué autoriza | Una entidad concreta, identificada | La subcontratación, sin concretar la entidad |
| Un cambio de subencargado | Necesita una autorización nueva | El encargado avisa antes y el centro puede oponerse (art. 28.2) |
| Qué conviene pactar | La entidad, sus datos de contacto y los tratamientos que hará | La forma por escrito y el plazo para oponerse, y una antelación mínima del aviso |
Ojo con esto
La cadena no diluye la responsabilidad. El encargado tiene que imponer al subencargado, por contrato, las mismas obligaciones que él tiene con el centro, y si el subencargado incumple, el encargado inicial sigue respondiendo plenamente ante el centro (art. 28.4). Todo eso va en el DPA. Si el subencargado está fuera del EEE, además hay una transferencia internacional que necesita su propia garantía. Pedir la lista de subencargados, con su función y su ubicación, es la forma más rápida de saber por dónde pasan los datos del centro.
Fuentes
Términos relacionados
- Responsable y encargado del tratamientoResponsable del tratamiento es quien decide para qué y cómo se tratan unos datos personales; encargado, quien los trata por cuenta del responsable. En una residencia, el centro es responsable de los datos de sus residentes, y el proveedor de software o el catering que los maneja por él es encargado.
- DPA (contrato de encargo del tratamiento)Un DPA (data processing agreement) es el contrato que el art. 28.3 del RGPD exige entre el responsable del tratamiento y cada encargado: fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y de interesados, y las obligaciones y derechos de cada parte.