Contenidos obligatorios de un Contrato de Encargo de Tratamiento
¿Qué elementos debe contener un CET según el artículo 28 RGPD?
Un CET legalmente seguro debe incluir numerosos contenidos obligatorios según el artículo 28 RGPD. Esto incluye la descripción exacta del objeto y duración del tratamiento, naturaleza y propósito del tratamiento de datos, así como las categorías de datos tratados y de las personas afectadas. Además, deben estar claramente definidas la sujeción a instrucciones del encargado del tratamiento, el compromiso de confidencialidad de todas las personas involucradas, así como las medidas técnicas y organizativas para la protección de datos.
¿Cómo se regulan los subcontratistas en el CET?
La regulación del uso de subcontratistas es un componente central de un CET. Típicamente se establece que la contratación de subcontratistas solo es admisible con consentimiento previo por escrito del responsable del tratamiento. El encargado del tratamiento debe informar al responsable sobre cualquier cambio previsto y asegurar que los subcontratistas también cumplan las mismas obligaciones de protección de datos que él mismo.
¿Qué obligaciones de apoyo tiene el encargado del tratamiento?
El encargado del tratamiento está obligado a apoyar al responsable en el cumplimiento de los derechos de los interesados. Esto incluye ayuda en solicitudes de información, peticiones de rectificación y eliminación, así como en solicitudes de portabilidad de datos. Además, debe proporcionar apoyo en el cumplimiento de otras obligaciones de protección de datos, especialmente en garantizar la seguridad de los datos, notificación de violaciones de datos, realización de evaluaciones de impacto en la protección de datos y en consultas previas con autoridades de supervisión.
¿Qué se aplica para la finalización del encargo de tratamiento?
En el CET debe estar claramente regulado qué sucede con los datos personales después de la conclusión del tratamiento. Por defecto debe establecerse que el encargado del tratamiento elimine todos los datos personales o los devuelva al responsable del tratamiento, a menos que exista una obligación legal de conservación adicional. La eliminación o devolución debe ser demostrable y, cuando sea posible, documentada.
¿Qué requisitos especiales se aplican en las transferencias a terceros países?
En transmisiones de datos a países fuera de la UE/EEE deben tomarse precauciones adicionales en el CET. Esto incluye la regulación explícita de la transmisión a terceros países con indicación de los países receptores, la implementación de garantías adecuadas como cláusulas contractuales estándar de la UE, así como la documentación de una evaluación de riesgos. Desde la sentencia "Schrems II" del TJUE, los requisitos para transferencias internacionales de datos han aumentado considerablemente y requieren un examen y documentación minuciosos.
¿Qué errores ocurren frecuentemente en los CET en la práctica?
En la práctica, los CET a menudo presentan deficiencias que pueden llevar a su ineficacia. Los errores más frecuentes incluyen descripciones demasiado inespecíficas del tratamiento, regulaciones faltantes o poco claras sobre subcontratistas, descripciones insuficientes de las medidas técnicas y organizativas, definición faltante de derechos de instrucción y control, así como conceptos de eliminación incompletos. El uso de modelos contractuales obsoletos que no corresponden a los requisitos actuales del RGPD también representa un riesgo considerable.
