En resumen
- Reglamentación: RGPD.
- Toda empresa de servicios digitales que trate datos personales por cuenta de sus clientes es encargada del tratamiento, sin umbral.
- Firmar un DPA conforme.
- Tratar bajo instrucción.
- Asegurar (artículo 32).
- Las multas pueden alcanzar los 20 M€ o el 4 % del volumen de negocio mundial.
Plazos normativos
Las fechas clave de esta normativa.
Mayo de 2018
Entrada en aplicación
En vigor¿De qué trata el RGPD?
El RGPD distingue al responsable del tratamiento, que decide los fines, del encargado del tratamiento, que actúa por su cuenta. Una empresa de servicios tecnológicos que explota o mantiene sistemas que contienen datos personales es encargada del tratamiento, sin definir los fines del mismo.
El artículo 28 impone un contrato escrito que regula estrictamente lo que el encargado del tratamiento puede hacer y cómo protege los datos.
¿Está afectado el sector «Empresas de servicios digitales (ESN)»?
Toda empresa de servicios tecnológicos que trate datos personales por cuenta de sus clientes es encargada del tratamiento, sin umbral alguno. La calificación depende de la realidad del acceso a los datos, no de la naturaleza «técnica» de la prestación.
Para sus propios tratamientos —gestión de personal, contratación, prospección comercial— la ESN es responsable del tratamiento y acumula ambos roles.
Obligaciones detalladas
Firmar un DPA conforme
Formalizar con cada cliente un contrato de subcontratación conforme al artículo 28: objeto, duración, naturaleza del tratamiento, categorías de datos, obligaciones y derechos del responsable.
Tratar bajo instrucción
Tratar los datos únicamente siguiendo instrucciones documentadas del cliente y alertar en caso de instrucción no conforme.
Asegurar (artículo 32)
Gestión detallada de accesos y autorizaciones, cifrado, autenticación reforzada, registro de eventos, copias de seguridad y pruebas de restauración.
Supervisar a los subencargados ulteriores.
Mantener actualizada la lista de subencargados (proveedor de alojamiento, editores, otros prestadores) e informar a los clientes de cualquier cambio.
Encuadrar las transferencias fuera de la UE
Garantizar la seguridad jurídica de las transferencias fuera de la Unión Europea mediante las cláusulas contractuales tipo y medidas complementarias.
Asistir al cliente
Asistir en las solicitudes de derechos, los análisis de impacto y la notificación de violaciones, y alertar al cliente sin demora en caso de violación.
Sanciones y riesgos
Las multas pueden alcanzar los 20 M€ o el 4 % del volumen de negocio mundial. Una ESN deficiente expone en cascada al conjunto de sus clientes, lo que la convierte en un punto de control sistemático en la due diligence.
El riesgo contractual se suma al riesgo administrativo: los clientes exigen DPA, garantías de seguridad y derecho de auditoría.
Errores frecuentes en el sector
- 1DPA caso por caso. Negociar sin contrato tipo, lo que ralentiza las ventas y deja lagunas.
- 2Subcontratistas ocultos. No declarar el alojador ni los proveedores terceros.
- 3Transferencias no encuadradas. Recurrir a servicios fuera de la UE sin cláusulas ni medidas.
- 4«Prestación técnica» = sin RGPD. Creer erróneamente que la naturaleza técnica de la misión exonera del rol de encargado del tratamiento.
Caso práctico
Una ESN que presta el servicio de TMA de un ERP cliente subcontrata el alojamiento a un tercero fuera de la UE no declarado. Una auditoría del cliente bloquea la renovación del contrato. La ESN regulariza la situación declarando al subcontratista, activando las cláusulas de transferencia y publicando un DPA estándar, que se adjunta desde entonces a cada propuesta comercial.
Hoja de ruta de cumplimiento
- 1
Cartografiar. Inventariar los servicios que dan acceso a datos y su localización.
- 2
Publicar un DPA estándar. Poner a disposición un DPA tipo y documentación de seguridad.
- 3
Mantener la lista de subcontratistas. Mantener actualizados los subencargados ulteriores y la información a los clientes.
- 4
Documentar la seguridad. Formalizar las medidas del artículo 32 en un registro.
- 5
Instrumentar la notificación. Establecer un procedimiento de notificación de violaciones al cliente.
Preguntas frecuentes
No: en cuanto da acceso a datos personales, la empresa de servicios tecnológicos es encargada del tratamiento, independientemente del carácter técnico del encargo.
Pase a la acción en RGPD
Diagnóstico gratuito o una charla con un experto dedicado a empresas de servicios digitales (esn).
Ya confían en nosotros
Descubra cómo organizaciones del sector empresas de servicios digitales (esn) aseguraron su cumplimiento con DCO.