¿Qué es un contrato de encargado del tratamiento (AVV)?

AVV: definición e importancia

Quien no trata los datos personales por sí mismo, sino que encomienda ese tratamiento a un proveedor, necesita según el art. 28 RGPD un contrato de encargado del tratamiento. El cliente sigue siendo el responsable del tratamiento y responde ante los interesados y las autoridades de control de su licitud. El proveedor, el encargado, solo puede tratar los datos siguiendo instrucciones documentadas y no puede usarlos para fines propios.

Encargados típicos son los proveedores de hosting y nube, los servicios de boletines y CRM, y los prestadores de nóminas, destrucción de documentos o soporte informático con acceso a los sistemas. Quien decide sobre fines y medios junto con otra parte es corresponsable (art. 26) y necesita otro tipo de acuerdo.

Contenido obligatorio según el art. 28 RGPD

El contrato debe fijar el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados. Además, debe vincular al encargado a determinadas obligaciones. Puede celebrarse por escrito o en formato electrónico; muchos proveedores lo ofrecen como aceptación en línea.

• Tratamiento solo según instrucciones documentadas del responsable
• Compromiso de confidencialidad del personal
• Medidas técnicas y organizativas adecuadas (art. 32)
• Normas y autorización para subencargados
• Apoyo en derechos de los interesados, brechas de seguridad y evaluaciones de impacto
• Supresión o devolución de los datos al terminar el contrato
• Derechos de auditoría y control del responsable

Ejemplo práctico: un comercio con tienda online, boletín y logística

Un comercio especializado gestiona su tienda online con un proveedor de hosting, envía boletines con una herramienta externa y encarga los envíos a un operador logístico. En cada una de estas relaciones hay que comprobar si se tratan datos personales por encargo. Es el caso del proveedor de hosting y de la herramienta de boletín, por lo que se necesita un AVV; en el operador logístico depende de cómo esté configurada la relación.

La revisión muestra que nunca se firmó un AVV para la herramienta de boletín y que el proveedor de hosting recurre a subcontratistas en un tercer país. El comercio obtiene el contrato que faltaba, solicita la lista de subencargados y completa su registro de actividades de tratamiento.

Errores habituales y límites

Un AVV no sustituye la comprobación del proveedor. Lo decisivo son las medidas de protección reales, que conviene describir en un anexo del contrato. Con frecuencia falta una lista actualizada de subencargados, o el contrato nunca se da por terminado al acabar el proyecto y los datos se quedan donde están.

Si los datos se transfieren a un país fuera de la UE, el AVV por sí solo no basta. Se requiere además un instrumento de transferencia, como una decisión de adecuación o cláusulas contractuales tipo. La falta de un AVV necesario es una infracción propia que puede sancionarse con multa. Los datos del encargo siguen siendo, además, su responsabilidad: compruebe periódicamente que el contrato sigue encajando con el uso real.

Qué deben tener en cuenta las empresas

Lleve una lista de todos los proveedores con acceso a datos y compruebe en cada caso si existe un AVV, si está actualizado y si encaja con los flujos de datos reales. Esto también vale si usted mismo es encargado, por ejemplo como agencia con acceso a sistemas de clientes: entonces sus clientes necesitan un contrato con usted. Nano Concepts firma los acuerdos correspondientes en proyectos con acceso a datos. Este artículo no sustituye el asesoramiento jurídico.