Un encargado del tratamiento trata datos personales por tu cuenta: proveedor de alojamiento, servicio de envío de correos, proveedor del programa de nóminas, soporte externalizado… El RGPD exige un contrato que lo regule (artículo 28) y una garantía para cualquier transferencia de datos fuera de la Unión (capítulo V). La pantalla Protección de datos › Encargados del tratamiento lo reúne todo en un mismo lugar, para cada entidad jurídica.
Quién hace qué
| Grupo | Derechos |
|---|---|
| Delegados de protección de datos y administradores | Crear y modificar las fichas y las transferencias, adjuntar el contrato, registrar una revisión, terminar una relación |
| Responsables de tratamientos y lectores | Consultar |
La ficha de un encargado
- Tratamientos encargados y datos encargados (las mismas categorías que el registro).
- Países de tratamiento: los códigos ISO de dos letras de los países donde se tratan los datos o se accede a ellos (ES, IE, US…).
- Subencargado de: un proveedor de tu encargado (su soporte, su alojamiento). Aparece con su nombre en la lista.
- Actividades del registro encargadas: marca las actividades del registro que este encargado realiza por ti.
- Enlaces al contrato y al proveedor: la dirección de su ficha en la aplicación, para no copiar el contrato ni el proveedor.
El contrato de encargo
Indica la referencia, la fecha de firma y el vencimiento, y adjunta el contrato firmado. Marca después cada cláusula obligatoria del artículo 28.3 que hayas verificado en el contrato: instrucciones documentadas, confidencialidad, seguridad, subencargados, ayuda en el ejercicio de los derechos, asistencia, supresión o devolución de los datos al final del contrato, auditorías.
Indica también la fecha de la última auditoría y la frecuencia de la revisión. Tras cada revisión, pulsa Revisión hecha: se recalcula el siguiente vencimiento.
Las transferencias fuera de la Unión
Para cada país fuera de la Unión al que el encargado transfiere los datos o desde el que accede a ellos, añade una transferencia:
- El país y el destinatario (matriz, centro de soporte…).
- La garantía: decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes, excepción del artículo 49.1 (elige entonces su punto) u otra garantía que describas.
- Para cláusulas tipo o normas corporativas, la fecha y la conclusión de la evaluación de impacto de la transferencia, y las medidas complementarias (cifrado, seudonimización…).
Las alertas
La lista señala cada encargado por regularizar: contrato ausente o vencido, cláusulas sin verificar, revisión atrasada, transferencia sin garantía, transferencia sin evaluación de impacto. Marca Con alerta para ver solo esos. Los delegados reciben cada mañana un mensaje cuando aparecen nuevas alertas; una misma alerta solo se señala una vez.
Cuando la relación termina, pulsa Terminar la relación: la ficha sigue consultable (marca Relaciones terminadas) pero ya no genera alertas.
Con las solicitudes de derechos
Cuando una persona hace rectificar, suprimir o limitar sus datos, la tarea «avisar a los destinatarios» de cada actividad afectada nombra a los encargados vinculados a ella: sabes a quién avisar.
Cuando tú mismo eres encargado del tratamiento
Si tu organización trata datos por cuenta de sus clientes (software en línea, servicios gestionados…), abre Nuestros clientes (contratos de encargo) desde la lista de encargados:
- En la ficha de cada proveedor afectado, marca Figura en la lista de subencargados publicada a nuestros clientes.
- Publica la lista con un preaviso (30 días, por ejemplo) y una frase que resuma el cambio: tus clientes activos reciben un correo en su idioma, y la nueva versión solo se aplica en la fecha anunciada. La página pública muestra la versión vigente y la próxima.
- Para cada cliente, genera el contrato de encargo en PDF en su idioma y registra su aceptación con la copia firmada: se guardan la fecha, el firmante y la huella del archivo.
- Si un cliente se opone a un cambio, registra su oposición y su motivo; retírala cuando el asunto esté resuelto.