Contrato de encargado del tratamiento: cuándo hace falta y qué debe contener

Cualquier despacho de abogados o empresa de servicios profesionales que contrate una gestoría, un software en la nube, un servicio de mensajería certificada o una empresa de destrucción de documentos está, en la mayoría de los casos, cediendo datos personales de sus clientes a un tercero. Esa cesión no es libre: el Reglamento (UE) 2016/679, conocido como RGPD, exige que exista un contrato de encargado del tratamiento antes de que ese tercero toque un solo dato.

El problema es que muchos despachos y pequeñas empresas dan por hecho que basta con confiar en el proveedor, o que un correo electrónico aceptando condiciones ya cubre la obligación. No es así, y la falta de este contrato es una de las carencias más habituales que se detectan en auditorías de privacidad y seguridad en despachos profesionales.

Qué es el contrato de encargado del tratamiento

El artículo 28 del RGPD regula la figura del encargado del tratamiento: toda persona física o jurídica que trata datos personales por cuenta del responsable del tratamiento (el despacho o la empresa que decide para qué se usan esos datos). La ley exige que esa relación se formalice mediante un contrato u otro acto jurídico vinculante que fije el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos y las categorías de interesados afectados.

La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), desarrolla este mismo esquema en el ordenamiento español y refuerza la responsabilidad del encargado en caso de incumplimiento, incluyendo su exposición directa a sanciones si actúa fuera de las instrucciones del responsable o sin cobertura contractual.

Cuándo hace falta este contrato

La regla práctica es sencilla: si un tercero accede, almacena o procesa datos de tus clientes, empleados o candidatos por cuenta tuya, necesitas un contrato de encargado. Algunos ejemplos habituales en despachos y pequeñas firmas de servicios:

• Proveedores de software de gestión, facturación o expedientes en la nube.
• Gestorías y asesorías laborales que tramitan nóminas o seguros sociales.
• Empresas de mensajería certificada o notificaciones electrónicas.
• Servicios de destrucción confidencial de documentación en papel.
• Consultoras de marketing que gestionan bases de datos de contactos o campañas de email.
• Empresas de hosting, copias de seguridad o mantenimiento informático con acceso remoto.

La Ley 18/2022, de creación y crecimiento de empresas, y la Ley 11/2021, de medidas de prevención y lucha contra el fraude fiscal, han impulsado la digitalización de la facturación y el uso de software homologado en pymes. Este movimiento hacia plataformas externas multiplica los flujos de datos hacia terceros proveedores, lo que hace todavía más relevante revisar si cada uno de ellos tiene firmado el contrato correspondiente.

Cuándo no hace falta

No todo tercero que trata datos es un encargado. El Estatuto de los Trabajadores regula la relación laboral interna: un empleado del despacho que accede a expedientes de clientes actúa bajo la autoridad y organización del empleador, no como un tercero independiente, por lo que no procede un contrato de encargado con la plantilla propia.

Tampoco corresponde este contrato cuando dos entidades deciden conjuntamente los fines y medios del tratamiento, situación que la normativa califica como corresponsabilidad y que exige un acuerdo distinto, regulado en el artículo 26 del RGPD. Y, obviamente, si el proveedor no accede en ningún momento a datos personales (por ejemplo, una imprenta que solo maneja plantillas sin datos reales), no hay encargo de tratamiento que formalizar.

Particularidades para despachos de abogados

El Estatuto General de la Abogacía Española, aprobado por Real Decreto 135/2021, refuerza el deber de secreto profesional del abogado sobre toda la información conocida en el ejercicio de su actividad. Esto añade una capa adicional a la hora de externalizar servicios: no basta con firmar el contrato de encargado exigido por el RGPD, sino que el despacho debe verificar que el proveedor ofrece garantías compatibles con ese deber de confidencialidad, especialmente cuando se trata de datos sujetos a secreto profesional o información sensible del cliente.

En la práctica, esto se traduce en cláusulas reforzadas de confidencialidad, restricciones claras sobre subcontratación en cascada y, en muchos casos, exigencia de que los servidores o el soporte técnico no accedan al contenido de los expedientes sin causa justificada.

Qué debe incluir el contrato como mínimo

El artículo 28.3 del RGPD fija un contenido mínimo obligatorio. Un contrato de encargado incompleto o genérico, descargado sin adaptar, no protege al despacho ante una inspección de la Agencia Española de Protección de Datos.