El Acuerdo Debe Describir el Procesamiento Real
Un acuerdo de procesamiento de datos, a menudo denominado APD, complementa el contrato de servicios. Es relevante cuando un proveedor procesa datos personales en nombre de su cliente. Esto puede ocurrir con servicios de alojamiento web, soporte técnico, distribución de boletines informativos o aplicaciones en la nube. El factor decisivo es el uso real de los datos, no el título del documento.
El acuerdo debe aclarar las responsabilidades. Entre otras cosas, explica qué actividades de procesamiento se llevan a cabo, qué instrucciones se aplican y cómo el proveedor garantiza la protección de datos. Un texto estándar extenso resulta ineficaz si describe un producto completamente diferente. Por lo tanto, los compradores deben revisar los términos y condiciones junto con la oferta, la documentación técnica y el uso previsto.
La existencia de procesamiento de datos por parte de un responsable del tratamiento y el acuerdo necesario dependen de la relación específica y la legislación aplicable. Una lista de verificación general no puede sustituir esta clasificación legal. Se recomienda consultar con un experto en casos de roles poco claros, datos sensibles o actividades de procesamiento inusuales. Unas rutas de datos, responsabilidades y detalles contractuales bien definidos proporcionan una base fáctica fiable para ello.
Los responsables del tratamiento y los encargados del tratamiento tienen funciones diferentes.
El responsable del tratamiento determina las finalidades y los medios esenciales del tratamiento. El encargado del tratamiento procesa los datos personales en su nombre y de acuerdo con sus instrucciones documentadas. Estos términos describen las funciones de protección de datos y no establecen una jerarquía general entre empresas. Un gran proveedor de plataformas puede ser un encargado del tratamiento, mientras que un cliente pequeño actúa como responsable del tratamiento en cuestión.
Las funciones pueden variar según la función. Un proveedor puede procesar datos de clientes en nombre de un tercero, pero utilizar ciertos datos contractuales o de facturación para sus propios fines. En tales casos, debe explicar qué función asume para cada proceso. Una declaración general de que todos los datos se procesan únicamente en nombre de un tercero no resulta muy útil si las descripciones de los productos o los avisos de privacidad también mencionan sus propios usos.
Un contrato no puede cambiar las funciones reales simplemente cambiando su denominación. Por lo tanto, antes de firmar, debe quedar claro quién decide sobre el uso de los datos. Si el proveedor define una nueva finalidad independientemente del cliente, esta podría quedar fuera del alcance del acuerdo de tratamiento de datos pactado. Dichos límites requieren una explicación comprensible para que se puedan evaluar correctamente las responsabilidades, la información para los interesados y otras bases legales.
El objeto, la duración y los tipos de datos requieren detalles específicos.
El acuerdo debe identificar claramente qué servicio se presta con qué datos personales. Las formulaciones generales como «prestación de los servicios acordados» suelen ser insuficientes para comprender el flujo de datos. En un sistema de soporte, podrían verse afectados los datos de contacto, el contenido de los mensajes y los datos de uso técnico. Las categorías de interesados, como clientes, empleados o solicitantes, también deben corresponderse con el uso real.
El tipo y la finalidad del tratamiento son igualmente importantes. El almacenamiento, la transmisión, la evaluación y la eliminación describen procesos diferentes. La finalidad explica por qué se llevan a cabo, por ejemplo, para procesar solicitudes de soporte o para operar una plataforma de clientes. Cuanto más precisa sea la descripción de esta relación, más fácil será determinar posteriormente si una nueva funcionalidad del producto sigue estando cubierta por el contrato o requiere una nueva decisión.
La duración debe ser adecuada para el servicio y el proceso de eliminación. En ocasiones, el tratamiento continúa durante todo el periodo del contrato, mientras que las copias de seguridad se conservan durante un tiempo limitado. Esto no debe quedar oculto por un periodo de retención indefinido. Los compradores necesitan una visión realista de cuándo se eliminan los datos activos, cuánto tiempo persisten las copias técnicas y qué obligaciones legales podrían impedir la eliminación inmediata.
Las instrucciones deben ser efectivas en la práctica.
Los encargados del tratamiento de datos deben procesar los datos personales de acuerdo con las instrucciones documentadas, a menos que una obligación legal exija lo contrario. En el software estándar, gran parte de esta instrucción ya está integrada en el contrato principal, la selección del producto y la configuración. El acuerdo de procesamiento de datos (APD) debe estar alineado con esto. Una cláusula general sobre instrucciones individuales arbitrarias resulta poco útil si se desconoce a través de qué contrato y dentro de qué marco técnico pueden implementarse.
Aclarar qué cambios se consideran nuevas instrucciones. La activación de una función analítica, una nueva ubicación de almacenamiento o periodos de retención más largos pueden alterar el procesamiento. Algunas configuraciones las controla el cliente, otras solo el proveedor. Los compradores deben comprender qué opciones están disponibles y cuáles son las consecuencias. Un contrato no puede compensar la falta o la información engañosa sobre los controles del producto con derechos abstractos.
De acuerdo con el Reglamento General de Protección de Datos (RGPD), el proveedor debe informar al cliente si considera que una instrucción es ilícita. El acuerdo debe describir un procedimiento práctico para este caso. ¿Quién será informado, qué sucede hasta que se aclare el asunto y qué actividades de procesamiento pueden suspenderse? Contar con personas de contacto y canales de escalamiento claramente definidos es más valioso que una simple formulación que reitera el principio legal.
La confidencialidad y la seguridad deben ser proporcionales al riesgo.
Las personas que procesan datos para el proveedor deben estar sujetas a acuerdos de confidencialidad o a una obligación legal equivalente. También es importante que los compradores comprendan cómo se limita el acceso en el uso diario. ¿El soporte requiere acceso estándar al contenido o se concede solo en casos específicos? Los roles, permisos y registros deben estar alineados con el servicio prometido.
Las medidas técnicas y organizativas describen la protección del procesamiento de datos. Estas pueden incluir control de acceso, cifrado, copias de seguridad, recuperación y auditorías periódicas. Una simple lista de términos de seguridad conocidos no aporta mucha información sobre su aplicación. Los compradores deben comprender qué datos están protegidos y cuándo, quién controla las claves o el acceso, y qué medidas se aplican realmente al producto elegido.
La seguridad no es un activo estático. Los sistemas y los riesgos evolucionan a medida que los proveedores adaptan su infraestructura. El acuerdo debe permitir mejoras significativas sin reducir sutilmente el nivel de protección acordado. Los clientes necesitan información suficiente sobre los cambios importantes. Lo que constituye un cambio importante depende del servicio, pero podría incluir nuevas ubicaciones de almacenamiento, diferentes métodos de acceso o la eliminación de una medida de seguridad central.
Otros proveedores de servicios no deben permanecer invisibles.
Muchos proveedores no prestan sus servicios de forma independiente. Utilizan centros de datos, servicios de correo electrónico o empresas de soporte que pueden actuar como encargados del tratamiento de datos adicionales. El acuerdo de tratamiento de datos (ATD) debe aclarar si se aplica una autorización específica o general. Con la autorización general, los clientes deben ser informados de cualquier cambio previsto y tener la oportunidad real de oponerse.
Una lista de encargados del tratamiento de datos adicionales solo es útil si resulta comprensible. El nombre, la función y la ubicación del tratamiento ayudan a determinar qué parte del servicio gestiona la empresa. Una simple lista de nombres de empresas sin función dificulta la comprensión del flujo de datos. También debe quedar claro dónde se puede encontrar la información actualizada y cómo se notificará a los clientes sobre los nuevos proveedores o los que sean sustituidos.
El proveedor principal sigue siendo responsable de imponer esencialmente las mismas obligaciones de protección de datos a sus encargados del tratamiento de datos adicionales. Los compradores no necesitan negociar cada subcontrato por sí mismos, pero sí necesitan garantías suficientes en toda la cadena. Una objeción a un nuevo proveedor no debe ser puramente teórica. Las consecuencias contractuales, las posibles alternativas y cualquier derecho de rescisión deben explicarse claramente en el contexto del contrato principal.
Debe existir asistencia disponible de inmediato para los derechos y las incidencias relacionadas con los datos personales.
Las personas pueden ejercer sus derechos en relación con sus datos personales. El responsable del tratamiento sigue siendo responsable del procesamiento, pero a menudo requiere asistencia del proveedor de servicios. El contrato debe describir cómo se pueden encontrar, corregir, exportar o eliminar los datos. En el caso de una función de autoservicio, es importante aclarar si abarca todos los datos relevantes o si es necesario realizar solicitudes adicionales al proveedor.
En caso de una violación de datos personales, el encargado del tratamiento debe informar al responsable del tratamiento sin demora indebida tras tener conocimiento de la misma. Para el comprador, la información que recibe y cómo la recibe es crucial. Un formulario de asistencia difícil de encontrar puede suponer una pérdida de tiempo valioso. Los contactos de emergencia designados y las actualizaciones periódicas ayudan a evaluar el impacto, los datos afectados y las medidas adoptadas.
También puede ser necesario brindar asistencia para las evaluaciones de impacto en la protección de datos y las consultas de las autoridades de supervisión. El alcance y las limitaciones prácticas dependen del servicio y de la información disponible. Por lo tanto, las promesas generales de asistencia deben estar alineadas con los términos y los costos potenciales de dicha asistencia. Los compradores deben poder ver qué evidencia se proporciona por defecto y cuándo se acordará por separado una investigación especial o la asistencia de expertos.
La eliminación, la devolución y la revisión requieren un enfoque realista.
Una vez finalizado el servicio, los datos personales deben eliminarse o devolverse a discreción del responsable del tratamiento, siempre que no exista una obligación legal de conservarlos. Esta opción debe ser técnicamente factible. Los compradores deben conocer el formato de datos en el que los recibirán, cuánto tiempo estará disponible una exportación y cuándo se vacían los sistemas activos. Un formato de exportación ilegible hace que el derecho formal de devolución sea prácticamente inútil.
Las copias de seguridad a menudo no se pueden eliminar individualmente de inmediato. Por lo tanto, es necesario limitar su retención, protegerlas del uso normal y establecer un procedimiento de eliminación rastreable. Las declaraciones sobre la eliminación posterior dentro del ciclo regular deben especificar un plazo comprensible. También debe quedar claro si los registros, los archivos adjuntos de soporte y las copias de prueba siguen las mismas reglas o si se almacenan durante más tiempo debido a otras obligaciones.
El proveedor debe facilitar información para demostrar el cumplimiento de sus obligaciones y permitir auditorías. En los servicios en la nube habituales, se suelen utilizar informes independientes, certificados y divulgaciones estandarizadas para este fin. Estos pueden ser informativos si el alcance, el período de tiempo y el servicio afectado son apropiados. Un derecho de auditoría más completo sigue siendo importante, pero debe tener en cuenta la seguridad de otros clientes, la confidencialidad y un proceso proporcional.
Un acuerdo de procesamiento de datos (APD) no resuelve automáticamente las transferencias internacionales de datos.
Si los datos se procesan fuera del Espacio Económico Europeo (EEE) o se accede a ellos desde allí, surgen cuestiones adicionales. Un APD conforme al artículo 28 no constituye automáticamente la base completa para ello. Los compradores deben conocer las ubicaciones de procesamiento, el posible acceso remoto y las empresas involucradas. Simplemente indicar «alojamiento en la UE» es insuficiente si el soporte o la administración pueden realizarse regularmente desde un tercer país.
Según el país y las circunstancias específicas, puede ser relevante una decisión de adecuación, cláusulas contractuales estándar u otros instrumentos. Para cada transferencia individual, debe evaluarse qué base jurídica es apropiada y qué medidas adicionales son necesarias. El contrato no debe mezclar documentos diferentes con abreviaturas similares. Un Acuerdo de Procesamiento de Datos (APD) rige el procesamiento de datos en nombre del responsable del tratamiento, mientras que las cláusulas contractuales estándar abordan diferentes cuestiones de transferencia según su aplicación.
También deben considerarse los cambios. Un nuevo subcontratista o ubicación de soporte puede modificar una evaluación previa. Por lo tanto, los clientes necesitan información antes de que comience el nuevo procesamiento y tiempo suficiente para una revisión adecuada. Se recomienda especialmente el asesoramiento legal para cadenas de transferencia de datos complejas. Los detalles contractuales claros y concisos establecen la base fáctica, pero no sustituyen la evaluación legal necesaria.
Un buen acuerdo puede explicarse mediante el producto.
Antes de firmar, una persona con conocimientos debe poder describir el flujo de datos en términos sencillos. ¿Qué datos llegan al proveedor, para qué se utilizan, quién tiene acceso a ellos y cuándo se eliminan? Las respuestas deben ser coherentes en todo el producto, el contrato principal, el acuerdo de procesamiento de datos (APD) y la documentación de seguridad. Las inconsistencias requieren aclaración, no la suposición de que un anexo más específico lo resolverá todo automáticamente.
Involucre la protección de datos, la seguridad de la información, las compras y el departamento responsable según el riesgo. Cada perspectiva identifica diferentes deficiencias: funciones legales, salvaguardas, implicaciones contractuales o una característica inadecuada del producto. Para un servicio pequeño y de bajo riesgo, la revisión puede ser manejable. El procesamiento extenso o sensible requiere un análisis más profundo. La clave es una revisión apropiada, no la misma cantidad de documentación para cada proveedor.
Un acuerdo de procesamiento de datos (APD) claro y comprensible no garantiza la seguridad por sí solo, pero sí clarifica las expectativas verificables. Vincula el procesamiento encargado con las instrucciones, la protección, el soporte, los subcontratistas y el fin del uso. Cuando estas declaraciones reflejan con precisión el servicio real, los compradores pueden evaluar mejor las responsabilidades e identificar cambios con anticipación. Cualquier duda legal restante debe abordarse mediante asesoramiento legal especializado, en lugar de basarse en suposiciones sobre cláusulas estándar.