Cada día circulan datos personales a través de las relaciones con los proveedores: herramientas de gestión de nóminas, almacenamiento en la nube, plataformas de marketing, sistemas de recursos humanos. El contrato que regula lo que ocurre con esos datos es el acuerdo de tratamiento de datos. La mayoría de las organizaciones cuentan con uno. Sin embargo, son muy pocas las que tienen uno que realmente resista un análisis minucioso.
Acuerdo de tratamiento de datos (Data Processing Agreement, DPA): contrato legalmente vinculante entre un responsable del tratamiento y un encargado del tratamiento en el que se especifican la finalidad, el alcance y las garantías que rigen el tratamiento de datos personales, tal y como exige el artículo 28 del RGPD y las leyes de protección de datos equivalentes.
Lo que la mayoría de las guías no abordan es la parte más complicada: saber exactamente cuándo es obligatorio un acuerdo de protección de datos (DPA), qué debe incluir, cómo negociarlo sin ceder demasiado y qué ocurre cuando tu cartera de proveedores crece hasta alcanzar los 50 contratos que se supone que debes supervisar al mismo tiempo.
Por qué la ausencia de un acuerdo de protección de datos (DPA) constituye un incumplimiento normativo
Las autoridades reguladoras no consideran que la falta de un acuerdo de protección de datos (DPA) sea un simple descuido administrativo. Lo consideran un incumplimiento normativo.
En virtud del Reglamento General de Protección de Datos (RGPD), el tratamiento de datos personales sin un acuerdo de protección de datos (DPA) vigente puede acarrear multas de hasta 20 millones de euros o el 4 % de la facturación global anual, lo que sea mayor. En EE. UU., la Ley de Privacidad del Consumidor de California (CCPA) prevé multas de hasta 7.500 dólares por cada infracción intencionada. Ambas cifras se aplican por incidente, no por auditoría.
Más allá del riesgo financiero, la ausencia de un acuerdo de protección de datos (DPA) o un acuerdo inadecuado deja a su organización sin capacidad de negociación contractual en caso de que un proveedor sufra una filtración de datos. Si no existe un acuerdo documentado sobre los plazos de notificación de las filtraciones, las normas de seguridad o las obligaciones de supresión de datos, se verá obligado a gestionar las consecuencias con menos capacidad de negociación contractual y una base menos clara y documentada para la recuperación.
¿Cuál es la diferencia entre un responsable del tratamiento, un encargado del tratamiento y un subencargado del tratamiento?
Es fundamental comprender estas tres funciones antes de redactar o revisar cualquier acuerdo de tratamiento de datos (DPA). Estas determinan quién asume la responsabilidad jurídica de qué y quién tiene obligaciones contractuales frente a quién.
¿Qué es un responsable del tratamiento?
El responsable del tratamiento es la organización que decide con qué fines y de qué manera se tratan los datos personales. Es el principal responsable legal de garantizar que el tratamiento sea lícito, leal y transparente. Si su empresa recopila datos de los empleados para gestionar las nóminas o recopila datos de los clientes para tramitar los pedidos, su empresa es el responsable del tratamiento.
¿Qué es un encargado del tratamiento de datos?
Un encargado del tratamiento gestiona datos personales en nombre del responsable del tratamiento, siguiendo estrictamente las instrucciones documentadas de este. No debe utilizar datos para sus propios fines en el marco de la relación entre responsable y encargado del tratamiento. Si determina los fines y los medios de dicho tratamiento, podría considerarse responsable del tratamiento y asumir las obligaciones correspondientes. Los proveedores de almacenamiento en la nube, los proveedores de servicios de nóminas, las plataformas de software de recursos humanos y las herramientas de marketing son ejemplos habituales.
¿Qué es un subencargado del tratamiento?
Un subencargado del tratamiento es un tercero contratado por el encargado del tratamiento para realizar actividades específicas de tratamiento. El encargado del tratamiento sigue siendo plenamente responsable del cumplimiento por parte del subencargado, aunque el responsable del tratamiento no mantenga con él ninguna relación contractual directa. De conformidad con el artículo 28 del RGPD, el encargado del tratamiento debe obtener una autorización por escrito antes de incorporar a cualquier subencargado.
Los tres roles: de un vistazo
| Función | Quiénes son | Ejemplo |
|---|---|---|
| Responsable del tratamiento | Decide por qué y cómo se tratan los datos personales | Tu empresa, que recopila datos sobre las nóminas de los empleados |
| Encargado del tratamiento | Gestiona los datos en nombre del responsable del tratamiento | El proveedor de su software de nóminas |
| Subencargado del tratamiento | Contratado por el encargado del tratamiento para tareas específicas | El proveedor de alojamiento en la nube del proveedor |
¿Cuándo es necesario un acuerdo de tratamiento de datos?
Por lo general, se requiere un contrato de tratamiento de datos o un acuerdo equivalente cuando una organización contrata a un tercero para que trate datos personales en su nombre, siempre que entre las partes exista una relación de responsable y encargado del tratamiento. La obligación legal concreta varía según la jurisdicción, pero el criterio práctico es siempre el mismo: si un proveedor tiene acceso a sus datos personales, debe existir un acuerdo de tratamiento de datos (DPA) antes de que comience el tratamiento.
¿En qué casos exige el RGPD un acuerdo de tratamiento de datos?
El artículo 28 del RGPD establece la obligatoriedad de un acuerdo de tratamiento de datos (DPA) para toda relación entre el responsable y el encargado del tratamiento, sin excepciones por el tamaño de la empresa, el volumen de datos o la ubicación geográfica del encargado. Si el RGPD es de aplicación al tratamiento, se requiere un contrato conforme al artículo 28 para la relación entre el responsable y el encargado del tratamiento, independientemente de dónde tenga su sede el proveedor.
El acuerdo debe constar por escrito. Una confirmación por correo electrónico o una referencia genérica a las condiciones generales de un proveedor pueden resultar insuficientes, a menos que formen parte claramente de un acuerdo escrito que contenga o incorpore las condiciones exigidas.
¿Qué leyes estatales de EE. UU. exigen un acuerdo de protección de datos (DPA) o un contrato equivalente?
Estados Unidos no cuenta con una ley federal única en materia de privacidad equivalente al RGPD. Pero la legislación estatal establece ahora obligaciones similares en gran parte del país. A partir de 2026, al menos una docena de estados habrán promulgado leyes exhaustivas sobre la privacidad de los consumidores. La mayoría de éstas exigen contratos por escrito con los proveedores de servicios que tratan datos personales.
La siguiente tabla recoge los marcos de trabajo de mayor aplicación general:
| Estado / Ley | ¿Es necesario un contrato? | Obligación fundamental |
|---|---|---|
| California (CCPA/CPRA) | Sí | Contrato por escrito con los proveedores de servicios y contratistas que tratan datos personales |
| Colorado (CPA) | Sí | Acuerdo de tratamiento de datos con los encargados del tratamiento |
| Connecticut (CTDPA) | Sí | Contrato en el que se especifican las obligaciones del encargado del tratamiento |
| Virginia (VCDPA) | Sí | Se requiere un acuerdo de tratamiento de datos |
| Utah (UCPA) | Sí | Se requiere un contrato por escrito |
| Texas (TDPSA) | Sí | Contrato con los proveedores de servicios |
| Oregón (OCPA) | Sí | Contrato en el que se especifican las instrucciones de procesamiento |
Si su organización opera en varios estados de EE. UU. o trata datos de residentes de la UE, es posible que necesite un único acuerdo de tratamiento de datos (DPA) que cumpla simultáneamente tanto con el RGPD como con los requisitos estatales de EE. UU. aplicables.
¿Qué debe incluir un acuerdo de tratamiento de datos?
Un acuerdo de tratamiento de datos (DPA) que cumpla con la normativa debe incluir los diez elementos establecidos en el artículo 28, apartado 3, del RGPD. Las leyes estatales de protección de datos de EE. UU. siguen una estructura muy similar. La siguiente lista de verificación abarca todos los componentes obligatorios.
Requisitos de la DPA
- 1 Ámbito de aplicación, finalidad y duración Qué datos se tratan, por qué, durante cuánto tiempo y qué ocurre cuando finaliza el contrato.
- 2 Datos personales y interesados Los tipos de datos implicados y las personas a las que se refieren dichos datos.
- 3 Obligaciones del responsable y del encargado del tratamiento El encargado del tratamiento solo podrá actuar siguiendo las instrucciones documentadas del responsable del tratamiento.
- 4 Medidas de seguridad Garantías técnicas y organizativas obligatorias, incluidos los controles de acceso y la respuesta ante incidentes.
- 5 Normas relativas a los subencargados del tratamiento Requisitos de autorización y responsabilidad de los subencargados del tratamiento.
- 6 Derechos de los interesados Cómo gestiona el encargado del tratamiento las solicitudes de acceso, rectificación, supresión y portabilidad.
- 7 Notificación de violaciones de seguridad El plazo y el procedimiento para notificar al responsable del tratamiento una violación de la seguridad de los datos personales.
- 8 Derechos de auditoría e inspección El derecho del responsable del tratamiento a evaluar el cumplimiento por parte del encargado del tratamiento.
- 9 Supresión o devolución de datos Qué ocurre con los datos personales cuando finaliza el acuerdo.
- 10 Transferencias internacionales de datos Las garantías que se aplican cuando los datos se transfieren fuera de la UE o del Reino Unido.
¿Cómo se redacta un acuerdo de tratamiento de datos?
Existen tres enfoques prácticos para redactar un acuerdo de protección de datos (DPA). El más adecuado depende de la relación con el proveedor, la capacidad del equipo y los riesgos normativos.
Opción 1: Empezar con una plantilla estándar
El Comité Europeo de Protección de Datos (EDPB) y las autoridades nacionales de control publican directrices que sirven de base para los modelos estándar de los acuerdos de tratamiento de datos (DPA). Estos modelos constituyen un buen punto de partida, pero deben adaptarse a cada caso concreto. Un modelo genérico rara vez reflejará los flujos de datos, las actividades de tratamiento y el perfil de riesgo específicos de cada relación con un proveedor concreto. Utilícelo como estructura, no como documento definitivo.
Opción 2: Basarse en el sistema de gestión del ciclo de vida de los contratos
Si su equipo jurídico gestiona múltiples contratos con proveedores, una plataforma de gestión de contratos le permite redactar acuerdos de tratamiento de datos (DPA) a partir de una plantilla estandarizada, realizar un seguimiento de las variaciones en las cláusulas en toda tu cartera de proveedores y gestionar las renovaciones desde un único sistema. De este modo, aplica un procedimiento coherente en lugar de tener que elaborar cada acuerdo desde cero.
¿Está preparado para una implantación fluida del CLM?
Siga estos cinco pasos fundamentales, desde el diseño, la configuración y la migración de datos hasta la incorporación y la puesta en marcha. Obtenga consejos de expertos para que su implementación vaya por buen camino y su equipo trabaje en sintonía.
Opción 3: Negociar a partir de las condiciones estándar del encargado del tratamiento
Muchos grandes proveedores de SaaS publican sus propios acuerdos de tratamiento de datos (DPA) tipo. Comparar el DPA publicado por un proveedor con tus requisitos suele ser más rápido que redactarlo desde cero. El riesgo principal: los DPA tipo para encargados del tratamiento están redactados para proteger al encargado. Averigue qué cláusulas debe negociar antes de firmar.
¿Cómo se revisa y se negocia un acuerdo de aplazamiento de enjuiciamiento (DPA)?
A la hora de revisar el acuerdo de tratamiento de datos (DPA) de un proveedor, empiece por las cuatro cláusulas que con mayor probabilidad resulten inadecuadas en la plantilla estándar de un encargado del tratamiento: derechos de auditoría, listas de subencargados del tratamiento, plazos de notificación de violaciones de seguridad y obligaciones de supresión de datos.
La mayoría de los equipos jurídicos internos reciben el acuerdo de tratamiento de datos (DPA) estándar de un proveedor. Y, o bien lo aceptan, o bien lo remiten a un asesor jurídico externo. Existe una vía más eficiente.
Centrarse primero en cuatro cláusulas
Los derechos de auditoría, las listas de subencargados del tratamiento, los plazos de notificación de violaciones de seguridad y las obligaciones de supresión de datos son los términos que con mayor probabilidad pueden faltar o estar redactados de forma deliberadamente imprecisa en la plantilla estándar de un encargado del tratamiento.
Conseguir la lista de subencargados del tratamiento como anexo formal
Los proveedores suelen incluir una lista aprobada de subencargados del tratamiento como anexo a su acuerdo de tratamiento de datos (DPA). Revísela con atención. En estas listas suelen aparecer proveedores de infraestructura en la nube, plataformas de análisis y herramientas de atención al cliente. Si tiene alguna objeción respecto a un subencargado del tratamiento, su DPA debería otorgarle el derecho a rescindir el acuerdo.
Presionar para que se establezca un plazo de 24 horas para la notificación de infracciones
Los proveedores suelen fijar por defecto un plazo de 72 horas, que se ajusta al plazo establecido por el RGPD para que el responsable del tratamiento notifique a la autoridad competente. Un plazo contractual de 24 horas puede proporcionar tiempo suficiente para evaluar el incidente antes de que venza el plazo de notificación de 72 horas del responsable del tratamiento. El RGPD exige que el encargado del tratamiento notifique al responsable sin demora injustificada, por lo que el plazo de 24 horas es una cláusula contractual negociada, no un plazo legal establecido por el RGPD.
Exigir una confirmación por escrito de la supresión
«Los datos se suprimirán tras la rescisión del contrato» es una cláusula estándar habitual. La confirmación por escrito sirve como prueba de que se ha cumplido la obligación, pero la obligación de supresión puede seguir siendo exigible incluso sin un proceso de confirmación independiente. Exigir al encargado del tratamiento una prueba por escrito de la supresión en un plazo determinado tras la rescisión.
Prestar especial atención a la cláusula sobre la legislación aplicable
Los proveedores internacionales suelen especificar la jurisdicción de su país de origen. La cláusula sobre la legislación aplicable no determina si se aplica el RGPD ni qué autoridad reguladora tiene competencia. Pero puede influir en la forma en que se interpreta y se hace cumplir el contrato. Revísela junto con la legislación aplicable en materia de protección de datos y las disposiciones sobre resolución de litigios antes de firmar.
¿Cuál es la diferencia entre un acuerdo de tratamiento de datos y un anexo de tratamiento de datos?
Un anexo sobre el tratamiento de datos y un acuerdo de tratamiento de datos suelen utilizarse con el mismo fin. Pero su alcance depende de la redacción y de cómo se incorpore el documento al contrato general. La diferencia suele ser de carácter estructural, aunque la redacción sigue determinando si se cubren las obligaciones exigidas.
Un anexo es un documento adjunto a un contrato marco de servicios o a unas condiciones de servicio ya existentes. Un acuerdo es un contrato independiente. Los grandes proveedores de SaaS suelen utilizar el formato de anexo, incorporando su DPA por referencia en el contrato principal. Los proveedores más pequeños o los proyectos a medida suelen utilizar un acuerdo independiente.
A efectos del RGPD, ambos formatos son válidos, siempre que incluyan el contenido exigido. La etiqueta tiene mucha menos importancia que el contenido que hay en su interior.
Definición clave:
Anexo sobre el tratamiento de datos: un anexo contractual a un contrato marco de prestación de servicios que contiene las mismas obligaciones sustantivas en materia de tratamiento de datos que un acuerdo de tratamiento de datos independiente y que cumple los requisitos del artículo 28 del RGPD de la misma manera.
¿Cómo se gestionan múltiples acuerdos de procesamiento de datos (DPA) en una cartera de proveedores?
Cuando la cartera de proveedores supera un puñado de contratos, el seguimiento manual de los acuerdos de protección de datos (DPA) se convierte en un riesgo de cumplimiento normativo en lugar de una herramienta de gestión. La solución consiste en abordar los DPA como un problema de datos estructurados, y no como un problema de almacenamiento de documentos.
Considera el escenario que la mayoría de las guías de cumplimiento normativo pasan por alto. Su organización utiliza 40 herramientas SaaS. Cada una cuenta con un acuerdo de tratamiento de datos (DPA). Algunas están vinculadas a acuerdos marco. Otras son independientes. Varias se han modificado desde su firma. Unas cuantas deben renovarse este trimestre. Dos proveedores acaban de actualizar sus listas de subencargados del tratamiento, y tiene la obligación contractual de responder en un plazo de 30 días.
Si gestiona todo esto en una hoja de cálculo, está siendo reactivo, no proactivo.
El seguimiento manual y sus consecuencias
El seguimiento manual presenta tres problemas previsibles a medida que aumenta el tamaño de la cartera:
- Las fechas de renovación se retrasan. Los acuerdos de tratamiento de datos (DPA) no siempre se ajustan a la vigencia del contrato principal. Un DPA caducado genera un vacío en tu documentación de cumplimiento normativo.
- Los cambios en los subcontratistas pasan desapercibidos. Los proveedores envían notificaciones, pero, al no existir un sistema que las registre y les dé curso, se incumplen los plazos de respuesta.
- Las solicitudes de auditoría se convierten en una pesadilla. Cuando un organismo regulador o su responsable de protección de datos (DPO) le pide pruebas de tus acuerdos de tratamiento, recopilarlas a partir de cadenas de correos electrónicos y unidades compartidas lleva días.
CLM de Dilitrust
La solución de gestión del ciclo de vida de los contratos (CLM) de DiliTrust centraliza todos los acuerdos de tratamiento de datos (DPA) junto con su contrato marco, extrae automáticamente las fechas y obligaciones clave, y activa alertas de renovación antes de que venzan los plazos. Dispondrá de un registro de auditoría completo, contratos vinculados y datos estructurados de toda su cartera de proveedores. Menor dependencia de las hojas de cálculo y menos incumplimientos de plazos.
¿Cómo gestionar múltiples DPA en una cartera de proveedores?
DiliTrust CLM ofrece a los equipos jurídicos un espacio seguro para organizar los acuerdos de tratamiento de datos (DPA), vincularlos a los acuerdos marco, extraer las condiciones clave y realizar un seguimiento de todos los plazos.
Preguntas frecuentes
¿Qué es un Acuerdo de Procesamiento de Datos (APD) en términos sencillos?
Un Acuerdo de Procesamiento de Datos (APD) es un contrato escrito que establece las normas sobre cómo un proveedor (el encargado del tratamiento) puede gestionar los datos personales en nombre de su organización (el responsable del tratamiento).
¿Cuál es la diferencia entre un APD y un Acuerdo de Confidencialidad (ACD)?
Un Acuerdo de Confidencialidad (ACD) protege la información comercial confidencial frente a su divulgación no autorizada. Un Acuerdo de Tratamiento de Datos (ATD) regula las condiciones legales bajo las cuales un encargado del tratamiento puede gestionar datos personales. El ACD no cumple con los requisitos del artículo 28 del RGPD.
¿Qué sucede si una empresa trata datos personales sin un APD?
Tratar datos personales sin un APD constituye una infracción de la normativa en una relación responsable-encargado del tratamiento cuando no existe el contrato requerido por el artículo 28. Además de la exposición regulatoria, su organización pierde toda capacidad de negociación contractual en caso de incumplimiento.
Mantenga todos los DPA visibles, actualizados y listos para una auditoría
Descubra cómo la gestión del ciclo de vida de los contratos de DiliTrust ayuda a los equipos jurídicos a centralizar los contratos con los proveedores y a mantener el control desde su redacción hasta su renovación.
