Encargado del tratamiento
El encargado del tratamiento es, según el artículo 28 del RGPD, la persona física o jurídica que trata datos personales por cuenta del responsable, siguiendo sus instrucciones. Tu proveedor de hosting, tu herramienta de email marketing o tu pasarela de pago suelen actuar en este papel.
Requisitos del contrato de encargo
| Elemento | Qué debe incluir |
|---|---|
| Objeto y duración | Naturaleza y finalidad del tratamiento encargado |
| Instrucciones | El encargado solo actúa siguiendo instrucciones documentadas |
| Confidencialidad | Compromiso de confidencialidad del personal implicado |
| Seguridad | Medidas técnicas y organizativas adecuadas |
| Subencargados | Autorización previa para contratar a otros encargados |
¿Cuándo es obligatorio el contrato?
Siempre que un tercero trate datos personales por tu cuenta. No hace falta si el tercero actúa como responsable independiente, por ejemplo una pasarela de pago que decide sus propias reglas de gestión del fraude y tiene su propia política de privacidad.
¿Debo nombrar a mis encargados en la política?
Es una buena práctica nombrar al menos las categorías de encargados relevantes (hosting, email marketing, procesamiento de pagos), para que los usuarios entiendan quién puede llegar a tener acceso a sus datos.
La cadena de subencargados
Un encargado puede, con tu autorización, contratar a su vez a otros encargados (subencargados). Esto es habitual en servicios SaaS, donde el propio proveedor de hosting es a su vez encargado de un proveedor de infraestructura en la nube.
Ejemplo práctico
Un blog usa una plataforma de email marketing para enviar su newsletter. Esa plataforma es encargada del tratamiento respecto a las direcciones de correo de los suscriptores: solo puede usarlas para enviar los correos que tú configures, no para sus propios fines comerciales, salvo que el usuario haya dado un consentimiento distinto directamente a esa plataforma.
Términos relacionados
El encargado solo tiene sentido junto al responsable del tratamiento, que es quien le da las instrucciones. Cuando el encargado trata datos fuera de la Unión Europea, entra además en juego la transferencia internacional de datos, con sus propias garantías.
Dónde verlo aplicado
Si gestionas un SaaS, nuestro artículo sobre subencargados y transferencias internacionales detalla cómo nombrarlos correctamente. Si usas WhatsApp Business con clientes, revisa también qué declarar sobre WhatsApp Business en tu política.
Inclúyelo correctamente en tu política de privacidad
Nuestro generador redacta este tipo de cláusulas de forma automática, con corrección jurídica, en pocos minutos.
Preguntas frecuentes sobre encargado del tratamiento
Respuestas concretas a las preguntas que más nos hacen sobre esto.