{"id":6071,"date":"2022-05-23T04:57:00","date_gmt":"2022-05-23T02:57:00","guid":{"rendered":"https:\/\/mascalvet.com\/?p=6071"},"modified":"2022-05-19T16:58:14","modified_gmt":"2022-05-19T14:58:14","slug":"contratos-de-encargado-de-tratamiento","status":"publish","type":"post","link":"https:\/\/mascalvet.com\/en\/contratos-de-encargado-de-tratamiento\/","title":{"rendered":"\u00bfHas adaptado todos los contratos de encargado de tratamiento al RGPD?"},"content":{"rendered":"\n<p class=\"has-background\" style=\"background-color:#f5f5f5\">EL 25 de mayo de 2022 se cumplen cuatro a\u00f1os desde la plena aplicaci\u00f3n del <strong><a href=\"https:\/\/www.boe.es\/doue\/2016\/119\/L00001-00088.pdf\">Reglamento General de Protecci\u00f3n de Datos (RGPD)<\/a><\/strong> y a\u00fan hay <strong>empresas <\/strong>y organizaciones sin \u00e1nimo de lucro o <strong>fundaciones <\/strong>que incumplen con la normativa vigente sobre <strong>privacidad<\/strong>. Es un buen momento para hacer una revisi\u00f3n y comprobar si todos sus <strong>contratos de encargado de tratamiento<\/strong> cumplen con los requisitos m\u00ednimos que exige el RGPD. Y seg\u00fan la normativa espa\u00f1ola este 25 de mayo se cumple el plazo m\u00e1ximo para adaptarse. Si necesita asesoramiento, puede <strong><a href=\"https:\/\/mascalvet.com\/contacto\/\">contactar con nuestros abogados<\/a><\/strong> del <strong><a href=\"https:\/\/mascalvet.com\/areas-de-practica\/#tecnologia\">\u00e1rea de Tecnolog\u00eda<\/a><\/strong>.<\/p>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n\n<ul class=\"wp-block-list\"><li>Lee tambi\u00e9n: <a href=\"https:\/\/mascalvet.com\/sanciones-proteccion-de-datos-elevadas\/\"><strong>Las sanciones de protecci\u00f3n de datos m\u00e1s elevadas: publicidad, telecomunicaciones y financiero<\/strong><\/a><\/li><li>Lee tambi\u00e9n: <a href=\"https:\/\/mascalvet.com\/diferencia-entre-anonimizacion-y-seudonimizacion\/\"><strong>Datos personales, \u00bfcu\u00e1l es la diferencia entre anonimizaci\u00f3n y seudonimizaci\u00f3n?<\/strong><\/a><\/li><li>Lee tambi\u00e9n<a href=\"https:\/\/mascalvet.com\/ventajas-de-europrivacy\/\"><strong>: Ventajas de Europrivacy, la certificaci\u00f3n europea de protecci\u00f3n de datos<\/strong><\/a><strong><\/strong><\/li><li>Lee tambi\u00e9n: <a href=\"https:\/\/mascalvet.com\/bufete-mas-y-calvet-europrivacy\/\"><strong>El Bufete Mas y Calvet, primer despacho de abogados espa\u00f1ol en ser socio oficial de Europrivacy<\/strong><\/a><\/li><li>Leer tambi\u00e9n:<a href=\"https:\/\/mascalvet.com\/riesgos-google-analytics-empresas\/\"><strong>Protecci\u00f3n de datos: riesgos de usar Google Analytics para las empresas<\/strong><\/a><strong><\/strong><\/li><\/ul>\n\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Este aniversario tambi\u00e9n marca la fecha tope para adaptar los <strong>contratos de encargado de tratamiento <\/strong>suscritos con anterioridad a la aplicaci\u00f3n del RGPD \u2013es decir, anteriores al 25 de mayo de 2018- y lograr que cumplan con la normativa en vigor. As\u00ed lo recoge la Disposici\u00f3n Transitoria 5\u00aa de la Ley Org\u00e1nica 3\/2018, de Protecci\u00f3n de Datos Personales y garant\u00eda de los derechos digitales (LOPD GDD).<\/p>\n\n\n\n<p>En ella se indica que los contratos que se hubieran suscrito conforme a lo exigido por la <strong>anterior Ley Org\u00e1nica de Protecci\u00f3n de Datos<\/strong> podr\u00edan mantener su vigencia. Pero si se pactaron con car\u00e1cter indefinido, el plazo m\u00e1ximo para adaptarse a las nuevas exigencias culminar\u00eda el 25 de mayo de 2022.<\/p>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p class=\"has-text-align-center has-medium-font-size\"><strong><em>\u201cLos contratos de encargado de tratamiento de datos personales suscritos por un tiempo indefinido deber\u00e1 estar adaptado al Reglamento General de Protecci\u00f3n de Datos como m\u00e1ximo el 25 de mayo de 2022\u201d<\/em><\/strong><\/p>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Conviene recordar que el <strong>tratamiento de datos<\/strong> por el encargado se regir\u00e1 obligatoriamente por un contrato u acto jur\u00eddico, formalizado por escrito, que vincule al encargado respecto del responsable. No basta que contenga generalidades, pues el RGPD requiere que especifique el objeto, la duraci\u00f3n, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categor\u00edas de interesados, y las obligaciones y derechos del responsable.<\/p>\n\n\n\n<p>Los nuevos <strong>contratos de encargado de tratamiento<\/strong> o las renovaciones contractuales que regulen la prestaci\u00f3n de este tipo de servicios deben incluir, por lo menos, los contenidos m\u00ednimos que recoge el art. 28 del RGPD. Pero \u00bfqu\u00e9 ocurre con los contratos anteriores?<\/p>\n\n\n\n<p>En la pr\u00e1ctica, es muy importante conocer que durante dichos plazos y <strong>hasta este 25 de mayo de 2022 <\/strong>cualquiera de las partes podr\u00e1 exigir a la otra la modificaci\u00f3n del contrato a fin de que el mismo resulte conforme a lo dispuesto en el art\u00edculo 28 RGPD.<\/p>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<div class=\"wp-block-media-text alignwide is-stacked-on-mobile\"><figure class=\"wp-block-media-text__media\"><img loading=\"lazy\" decoding=\"async\" width=\"912\" height=\"1024\" src=\"https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-912x1024.jpg\" alt=\"Efr\u00e9n D\u00edaz Logo 1\" class=\"wp-image-6073 size-full\" srcset=\"https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-912x1024.jpg 912w, https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-267x300.jpg 267w, https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-768x862.jpg 768w, https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-610x685.jpg 610w, https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-130x146.jpg 130w, https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-45x50.jpg 45w, https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1-67x75.jpg 67w, https:\/\/mascalvet.com\/wp-content\/uploads\/2022\/05\/Efren-Diaz-logo-1.jpg 959w\" sizes=\"auto, (max-width:767px) 480px, (max-width:912px) 100vw, 912px\" \/><\/figure><div class=\"wp-block-media-text__content\">\n<p class=\"has-medium-font-size\"><em>\u201cLas empresas y entidades han de saber que &#8216;\u00fanicamente&#8217; pueden contratar proveedores o encargados de tratamiento que ofrezcan garant\u00edas suficientes para aplicar medidas t\u00e9cnicas y organizativas apropiadas. Por tanto, antes de proceder a la contrataci\u00f3n conviene verificar si el encargado de tratamiento cumple con la normativa de protecci\u00f3n de datos. En Espa\u00f1a, la Ley de 2018 contempla cuatro posibles infracciones sancionables en este contexto: contratar a un encargado que no ofrezca garant\u00edas suficientes, encargar el tratamiento de datos a un tercero sin la previa formalizaci\u00f3n de un contrato o acto jur\u00eddico escrito, la subcontrataci\u00f3n por el encargado sin autorizaci\u00f3n previa del responsable o sin informarle, as\u00ed como que el encargado incumpla los fines y los medios del tratamiento\u201d<\/em><\/p>\n\n\n\n<p>Efr\u00e9n D\u00edaz, abogado responsable del \u00e1rea de Tecnolog\u00eda del <strong><a href=\"https:\/\/mascalvet.com\">Bufete Mas y Calvet<\/a><\/strong><\/p>\n<\/div><\/div>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Suscribir un nuevo contrato o incluir una adenda<\/strong><\/h2>\n\n\n\n<p>\u00bfQu\u00e9 deben hacer las empresas? Lo primero es hacer una revisi\u00f3n y <strong>listado de encargados de tratamiento<\/strong> para detectar si cuentan con contratos de estas caracter\u00edsticas y si cumplen efectivamente con el RGPD.<\/p>\n\n\n\n<p>Tras el an\u00e1lisis caso a caso, habr\u00e1 que determinar si es necesario <strong>suscribir un nuevo contrato <\/strong>de prestaci\u00f3n de servicios o si, por el contrario, ser\u00eda suficiente con <strong>a\u00f1adir o modificar el clausulado<\/strong>. <\/p>\n\n\n\n<p>Por experiencia profesional, <strong>se desaconseja la firma de anexos independientes o inconexos <\/strong>con el contrato principal cuyas prestaciones motivan el procesamiento de los datos personales, si bien se podr\u00edan estudiar para situaciones espec\u00edficas en las que no sea posible por motivos sustantivos o formales la novaci\u00f3n de contrato.<\/p>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Contratos de encargado de tratamiento: evaluaci\u00f3n<\/strong><\/h2>\n\n\n\n<p>Esta revisi\u00f3n de los <strong>contratos<\/strong> <strong>firmados con anterioridad al 25 de mayo de 2018<\/strong> puede ser tambi\u00e9n una buena ocasi\u00f3n para evaluar el cumplimiento de esta materia por parte del encargado de tratamiento. El RGPD se\u00f1ala que las empresas, en su car\u00e1cter de responsable del tratamiento, est\u00e1n obligadas a elegir \u201c\u00fanicamente\u201d -como subraya el RGPD- a <strong>encargados del tratamiento <\/strong>(proveedores a los que se comunican los datos) que ofrezcan garant\u00edas t\u00e9cnicas y organizativas apropiadas para que el tratamiento garantice la protecci\u00f3n de los derechos del interesado, es decir, de las personas que son titulares de dichos datos.<\/p>\n\n\n\n<p>Esta evaluaci\u00f3n debe ser peri\u00f3dica y no se debe realizar \u00fanicamente en el momento de la contrataci\u00f3n de los servicios. Esta valoraci\u00f3n debe basarte en un procedimiento que ofrezca garant\u00edas de objetividad y puede estar integrado en el sistema interno de homologaci\u00f3n de proveedores, pero tambi\u00e9n deber\u00eda poder activarse de forma independiente. Contar con un <strong>sistema automatizado<\/strong> puede ser una soluci\u00f3n eficaz que agilicen las evaluaciones peri\u00f3dicas.<\/p>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Transferencia internacional de datos<\/strong><\/h2>\n\n\n\n<p>\u00bfQu\u00e9 ocurre cuando el <strong>encargado del tratamiento <\/strong>se sit\u00faa fuera del Espacio Econ\u00f3mico Europeo (EEE)? Si la Comisi\u00f3n Europea no ha declarado dicho territorio como destino seguro, es posible que se est\u00e9 realizando una <strong>transferencia internacional de datos<\/strong>. Y esto entra\u00f1a riesgos adicionales para el cumplimiento en materia de privacidad.<\/p>\n\n\n\n<p>Por medio de unas <strong>evaluaciones espec\u00edficas<\/strong>, las TIA (transfer impact assessment, por sus siglas en ingl\u00e9s), se analizan cuatro aspectos: el exportador de los datos, las caracter\u00edsticas de la transferencia, el r\u00e9gimen legal del territorio de destino y el destinatario de los datos.<\/p>\n\n\n\n<p>Las transferencias internacionales de protecci\u00f3n de datos entra\u00f1an riesgos adicionales para las empresas responsables de tratamiento, por lo que ser\u00e1 necesario asesorarse de forma oportuna con <strong>especialistas acreditados en protecci\u00f3n de datos <\/strong>para tener mayores garant\u00edas de cumplimiento en las actividades de su empresa.<\/p>\n\n\n\n<div style=\"height:40px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Especialistas en protecci\u00f3n de datos<\/strong><\/h2>\n\n\n\n<p>En el&nbsp;<strong>Bufete Mas y Calvet<\/strong>&nbsp;contamos con un&nbsp;<strong><a href=\"https:\/\/mascalvet.com\/areas-de-practica\/#tecnologia\">equipo de abogados&nbsp;<\/a><\/strong>especializado asesoramiento en todo lo relacionado con el cumplimiento legal sobre la protecci\u00f3n de datos personales y privacidad. Las empresas y organizaciones con las que trabajamos cuentan con servicios de Delegado de Protecci\u00f3n de Datos (DPD) externo, evaluaciones de impacto y protocolos europeos de protecci\u00f3n de datos personales, como es la&nbsp;<strong><a href=\"https:\/\/mascalvet.com\/europrivacy\/\">certificaci\u00f3n Europrivacy<\/a><\/strong>. Tambi\u00e9n podemos ejercer la defensa en&nbsp;<strong>procedimientos sancionadores&nbsp;<\/strong>de la AEPD, transferencias internacionales de datos, etc.&nbsp;<strong><a href=\"https:\/\/mascalvet.com\/contacto\/\">Contacte con nosotros<\/a><\/strong>&nbsp;y le ayudaremos en todas sus consultas legales.<\/p>\n","protected":false},"excerpt":{"rendered":"<p><span class=\"excerpt-hellip\"> [\u2026]<\/span><\/p>\n","protected":false},"author":5,"featured_media":2871,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-6071","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia-telecomunicaciones"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/6071","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/comments?post=6071"}],"version-history":[{"count":7,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/6071\/revisions"}],"predecessor-version":[{"id":6080,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/6071\/revisions\/6080"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/media\/2871"}],"wp:attachment":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/media?parent=6071"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/categories?post=6071"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/tags?post=6071"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}