El Reglamento General de Protección de Datos (RGPD) establece normas estrictas para garantizar la seguridad y privacidad de los datos personales en toda la Unión Europea. Uno de los aspectos más complejos de esta normativa es la relación entre el responsable del tratamiento (quien define los fines y medios del tratamiento de datos) y el encargado y subencargado del tratamiento (terceros que gestionan los datos en su nombre). Las obligaciones del encargado y subencargado en protección de datos son de suma importancia, ya que, en última instancia, el responsable debe garantizar que todo el proceso cumpla con las normativas y proteja los derechos de los usuarios.
En este artículo, exploramos en profundidad estas obligaciones, los riesgos que implica no cumplirlas y cómo una buena gestión puede ayudar a tu empresa a evitar sanciones y proteger su reputación.
¿Qué es un Encargado y un Subencargado de Tratamiento en el RGPD?
En términos simples, el encargado del tratamiento es la entidad o persona que gestiona los datos personales en nombre del responsable del tratamiento. Por ejemplo, una empresa que contrata a un proveedor de servicios de almacenamiento en la nube para gestionar sus datos, establece al proveedor como encargado del tratamiento. Si el encargado, a su vez, subcontrata ciertos aspectos de la gestión de datos a terceros, estos terceros se convierten en subencargados del tratamiento.
Las obligaciones del encargado y del subencargado en el RGPD están detalladas principalmente en el Artículo 28 y en Capítulo V del reglamento. Estas disposiciones exigen tanto al responsable como al encargado y subencargado adoptar medidas específicas para salvaguardar los derechos de los interesados.
Principales Obligaciones del Encargado de Tratamiento
Las obligaciones del encargado en protección de datos son claras y específicas en el RGPD. Aquí exploramos las principales:
1. Proporcionar Garantías Suficientes
El Artículo 28 del RGPD establece que los encargados deben ofrecer “garantías suficientes” de que aplicarán medidas técnicas y organizativas adecuadas para que el tratamiento de datos cumpla con el reglamento. Estas medidas pueden incluir:
- Protocolos de seguridad de la información, como encriptación o acceso restringido.
- Certificaciones de seguridad y privacidad reconocidas en el sector, como ISO 27001.
- Políticas de retención y eliminación de datos.
Estas garantías deben mantenerse actualizadas y adaptarse en función del tipo de datos tratados y de los riesgos inherentes.
2. Seguir las Instrucciones del Responsable
El encargado debe procesar los datos exclusivamente bajo las instrucciones del responsable del tratamiento. Esto significa que, incluso si el encargado cuenta con autonomía técnica, cualquier cambio en los fines o métodos de tratamiento debe ser aprobado por el responsable. Esta disposición protege la integridad del proceso y asegura que se cumpla con los objetivos específicos del responsable.
3. Documentación y Trazabilidad
La documentación es fundamental para el cumplimiento del RGPD. Los encargados deben registrar todos los detalles del tratamiento, incluyendo:
- La naturaleza y finalidad del tratamiento.
- Los datos específicos tratados.
- Las políticas de seguridad aplicadas.
Además, deben estar preparados para presentar esta documentación ante las autoridades de supervisión en caso de inspección.
4. Subcontratación Responsable (Subencargados)
El encargado tiene la obligación de obtener la autorización del responsable para subcontratar alguna parte del tratamiento a un subencargado. Existen dos tipos de autorizaciones:
- Autorización específica: En la que el responsable aprueba cada subcontratación individual.
- Autorización general: Donde se permite al encargado subcontratar, con la condición de notificar al responsable y darle la oportunidad de oponerse.
El encargado debe asegurarse de que el subencargado cumpla con las mismas garantías de protección y debe documentar toda la cadena de subprocesadores autorizados.
Responsabilidades Adicionales del Subencargado en Protección de Datos
El subencargado tiene obligaciones similares a las del encargado y debe cumplir con el RGPD de la misma forma. Aunque el responsable principal de los datos es el controlador, el subencargado está legalmente obligado a:
1. Cumplir con las Obligaciones Contratadas
El subencargado debe seguir las condiciones y obligaciones establecidas por el encargado en el contrato inicial y reflejarlas en el contrato de subcontratación. Esto incluye el deber de implementar medidas de seguridad y confidencialidad, así como cumplir con las políticas de tratamiento de datos.
2. Mantener la Transparencia en la Cadena de Tratamiento
El subencargado debe informar cualquier modificación que pueda afectar el tratamiento de datos o el cumplimiento del RGPD, y garantizar que cualquier cambio en la estructura o en los procesos esté debidamente documentado y aprobado.
3. Asegurar la Continuidad de Protección
El subencargado tiene el deber de garantizar que los datos que maneja se protejan en cada etapa. Esto implica adoptar medidas adicionales en situaciones de alto riesgo, tales como la transferencia de datos a terceros países, que requiere salvaguardias específicas según el RGPD.
La Importancia de la Documentación y de la Transparencia
Para asegurar el cumplimiento del RGPD, tanto el encargado como el subencargado deben mantener una documentación detallada sobre todas las acciones de tratamiento y compartir la información relevante con el responsable. Entre estos documentos, el contrato juega un papel esencial, dado que establece los límites y las expectativas para cada parte.
La transparencia en la cadena de subprocesadores es un elemento vital que permite a las empresas responder de manera eficaz a cualquier requerimiento legal o solicitud de acceso de los usuarios. Además, la existencia de un registro de todas las actividades facilita la rendición de cuentas ante las autoridades y protege a las empresas de sanciones administrativas.
Buenas Prácticas para el Cumplimiento del RGPD en la Cadena de Procesamiento
Para mantener un cumplimiento sólido y minimizar riesgos, el responsable del tratamiento puede implementar una serie de buenas prácticas:
- Auditorías y revisiones periódicas: Evaluar regularmente el cumplimiento del RGPD en todos los niveles de la cadena de tratamiento, verificando que tanto el encargado como el subencargado mantengan sus garantías de seguridad y políticas actualizadas.
- Cláusulas contractuales claras: Incluir cláusulas detalladas sobre la responsabilidad, la seguridad y el alcance del tratamiento en todos los contratos, especialmente en los acuerdos de subprocesamiento.
- Verificación de garantías: Realizar una verificación previa de los proveedores para asegurar que estos tengan certificados de seguridad válidos y políticas de protección de datos robustas.
- Gestión de incidentes de seguridad: Establecer protocolos de respuesta rápida para incidentes de seguridad en toda la cadena de tratamiento, lo cual facilita la notificación inmediata de brechas y su rápida resolución.
- Capacitación continua: Asegurarse de que todos los miembros de la organización y sus proveedores estén actualizados en temas de privacidad y protección de datos mediante formaciones periódicas.
Consecuencias de No Cumplir con las Obligaciones del Encargado y Subencargado
La falta de cumplimiento de las obligaciones del encargado y subencargado en protección de datos puede acarrear graves consecuencias:
- Multas administrativas: Las sanciones económicas pueden llegar hasta el 4% de la facturación global de la empresa o 20 millones de euros, según lo estipulado por el RGPD.
- Pérdida de confianza: El incumplimiento puede llevar a una pérdida de confianza de los clientes y dañar la reputación de la empresa.
- Responsabilidad civil: En caso de violación de datos, los responsables y encargados pueden enfrentar demandas civiles por daños y perjuicios.
Por ello, es esencial que tanto el encargado como el subencargado del tratamiento conozcan y cumplan estrictamente con sus obligaciones y que el responsable mantenga el control y la supervisión de todo el proceso.
¿Necesitas Ayuda con el Cumplimiento del RGPD?
Para las empresas, la relación con sus proveedores de datos y la correcta supervisión de los subprocesadores es fundamental en términos de cumplimiento. Cada uno de los actores en la cadena de tratamiento, desde el responsable hasta el subencargado, tiene obligaciones específicas cuyo incumplimiento puede traer serias consecuencias legales y de reputación.
En nuestro despacho, contamos con un equipo de especialistas en protección de datos listo para ayudarte a cumplir con las normativas del RGPD y garantizar que tanto los encargados como los subencargados cumplan con sus obligaciones de protección de datos. No dudes en contactarnos para una consulta y asegurar la protección de los datos de tu empresa y de tus clientes.
Preguntas Frecuentes (FAQs)
¿Qué diferencia hay entre un encargado y un subencargado de tratamiento de datos?
El encargado del tratamiento es quien gestiona los datos personales en nombre del responsable. El subencargado es una entidad a la que el encargado subcontrata ciertas actividades de tratamiento, bajo la autorización del responsable.¿Cuáles son las principales obligaciones del encargado de tratamiento bajo el RGPD?
El encargado debe seguir las instrucciones del responsable, asegurar medidas de protección adecuadas, documentar sus actividades de tratamiento, y notificar al responsable en caso de subcontratar a un subencargado.¿Es necesario firmar un contrato con el subencargado?
Sí, el encargado debe establecer un contrato que refleje las mismas obligaciones de protección de datos del contrato entre el responsable y el encargado, y obtener autorización previa del responsable.¿Qué sucede si el subencargado no cumple con el RGPD?
En caso de incumplimiento, el responsable puede ser responsable y enfrentar sanciones. Además, el encargado sigue siendo responsable ante el responsable de los datos por el cumplimiento de los subencargados.¿Cuáles son las sanciones por no cumplir con las obligaciones de encargado o subencargado?
Las sanciones pueden incluir multas de hasta 20 millones de euros o el 4% de la facturación anual global, además de la posibilidad de demandas civiles y pérdida de confianza de los clientes.
