El contrato de acceso a datos por cuenta de terceros, hoy contrato de encargado del tratamiento del artículo 28 del RGPD, es obligatorio siempre que un proveedor trata datos personales por cuenta de su empresa: la gestoría que confecciona las nóminas, la empresa informática que mantiene el CRM, la plataforma de email marketing, el call center, la empresa de destrucción de documentos o el servicio de videovigilancia. No es un contrato opcional ni una formalidad: su ausencia es una infracción sancionable para ambas partes.
El RGPD tasa el contenido mínimo del contrato: objeto, duración, naturaleza y finalidad del tratamiento; tipos de datos y categorías de interesados; tratamiento solo bajo instrucciones documentadas del responsable; confidencialidad del personal; medidas de seguridad del artículo 32; régimen de subencargados; asistencia en el ejercicio de derechos y en las violaciones de seguridad; destino de los datos al terminar; y sometimiento a auditorías. Un simple compromiso de confidencialidad no cumple el artículo 28.
Este modelo genera el contrato completo con las once cláusulas exigidas, configurable en los dos puntos que varían en la práctica: el régimen de subencargados (prohibición salvo autorización escrita, o autorización general con deber de informar) y el destino final de los datos (devolución al responsable o supresión certificada), además de la descripción precisa del tratamiento, los datos y los interesados afectados.
Modelo de contrato de acceso a datos por cuenta de terceros (rgpd) (texto completo)
Este es el texto íntegro del modelo genérico. Sustituya los datos entre corchetes por los suyos, o utilice el formulario guiado de esta página para obtener el documento ya personalizado en Word y PDF, con las variantes legales adaptadas a su caso.
[Nombre o razón social del responsable (el cliente)] NIF [NIF del responsable] [Domicilio del responsable]
[Nombre o razón social del encargado (el proveedor)] NIF [NIF del encargado] [Domicilio del encargado]
En [Localidad de firma], a [Fecha de hoy]
Asunto: Contrato de encargado del tratamiento (artículo 28 RGPD)
REUNIDOS
De una parte, [Nombre o razón social del responsable (el cliente)], con NIF [NIF del responsable] y domicilio en [Domicilio del responsable], representada por [Representante del responsable], en adelante «el responsable del tratamiento».
De otra parte, [Nombre o razón social del encargado (el proveedor)], con NIF [NIF del encargado] y domicilio en [Domicilio del encargado], representada por [Representante del encargado], en adelante «el encargado del tratamiento».
Ambas partes se reconocen capacidad legal suficiente y, en el marco de la prestación del siguiente servicio: [Servicio principal que presta el encargado], suscriben el presente CONTRATO DE ENCARGADO DEL TRATAMIENTO conforme al artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018, con arreglo a las siguientes
CLÁUSULAS
PRIMERA. Objeto, naturaleza y finalidad. El encargado tratará por cuenta del responsable los datos personales necesarios para prestar el servicio indicado. El tratamiento comprende: [Naturaleza y finalidad del tratamiento]
SEGUNDA. Tipos de datos y categorías de interesados. El tratamiento afecta a los siguientes datos e interesados: [Tipos de datos y categorías de interesados]
TERCERA. Duración. Este contrato durará lo siguiente: [Duración del tratamiento]. Su vigencia queda ligada a la del servicio principal: la extinción de este extingue el encargo, con los efectos de la cláusula décima.
CUARTA. Instrucciones documentadas. El encargado tratará los datos únicamente siguiendo las instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales, y no los utilizará para fines propios ni distintos de los pactados. Si considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al responsable. Si el derecho de la Unión o español le obligara a tratar los datos con otro fin, lo advertirá antes del tratamiento, salvo prohibición legal.
QUINTA. Confidencialidad. El encargado garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar la confidencialidad, o están sujetas a una obligación legal equivalente, y que han recibido la formación necesaria. Esta obligación subsistirá tras la finalización del contrato.
SEXTA. Medidas de seguridad. El encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD: seudonimización y cifrado cuando proceda; garantía de confidencialidad, integridad, disponibilidad y resiliencia de los sistemas; capacidad de restaurar el acceso a los datos tras un incidente; y verificación y evaluación periódicas de la eficacia de las medidas.
SÉPTIMA. Subencargados. El encargado no podrá subcontratar ningún tratamiento sin la autorización previa, expresa y escrita del responsable. Autorizada la subcontratación, el encargado impondrá al subencargado, por contrato, las mismas obligaciones de este documento, y responderá plenamente ante el responsable del cumplimiento de aquel.
OCTAVA. Asistencia al responsable. Teniendo en cuenta la naturaleza del tratamiento, el encargado asistirá al responsable: (a) en la respuesta a los ejercicios de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad), comunicándole sin dilación toda solicitud recibida y absteniéndose de responder por sí mismo salvo instrucción expresa; (b) en el cumplimiento de las obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas (artículos 32 a 36 del RGPD), aportando toda la información pertinente.
NOVENA. Violaciones de seguridad. El encargado notificará al responsable, sin dilación indebida y en todo caso en un plazo máximo de 72 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, con la información del artículo 33.3 del RGPD disponible: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas.
DÉCIMA. Destino de los datos. Finalizada la prestación, el encargado devolverá al responsable todos los datos personales y los soportes que los contengan, y suprimirá de forma segura las copias que obren en su poder, certificándolo por escrito. Podrá conservar los datos, debidamente bloqueados, únicamente durante el tiempo en que puedan derivarse responsabilidades legales de la prestación.
UNDÉCIMA. Auditoría y responsabilidad. El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitirá y contribuirá a las auditorías e inspecciones que realice el responsable u otro auditor mandatado, previo aviso razonable. Si el encargado infringe el RGPD determinando por sí los fines y medios del tratamiento, será considerado responsable de ese tratamiento y responderá de las sanciones e indemnizaciones correspondientes.
Y en prueba de conformidad, las partes firman el presente contrato por duplicado y a un solo efecto, en el lugar y fecha indicados.
Firmado:
[Representante del responsable] (el responsable) y [Representante del encargado] (el encargado)
Responsable, encargado y cuándo hace falta el contrato
El responsable decide los fines y medios del tratamiento (su empresa respecto de sus clientes y empleados); el encargado trata los datos por cuenta del responsable, sin decidir para qué se usan. La clave no es quién tiene los datos, sino quién decide. Si el proveedor usa los datos para fines propios, no es encargado sino responsable, y el esquema jurídico cambia por completo.
| Proveedor | Tratamiento típico |
|---|---|
| Gestoría o asesoría laboral y fiscal | Nóminas, seguros sociales, impuestos de clientes y empleados |
| Mantenimiento informático y hosting | Acceso a servidores y copias de seguridad con datos personales |
| Plataformas SaaS (CRM, email marketing, contabilidad) | Alojamiento y procesamiento de bases de clientes |
| Empresas de videovigilancia y seguridad | Imágenes de trabajadores y visitantes |
| Destrucción documental y archivo externo | Custodia y eliminación de soportes con datos |
| Servicio de prevención de riesgos laborales ajeno | Datos de salud de la plantilla (vigilancia de la salud) |
Acceso sin contrato = infracción de los dos
La AEPD sanciona tanto al responsable que permite el acceso sin contrato como al encargado que trata sin él (artículos 72 a 74 de la LO 3/2018). Y hay un riesgo mayor para el proveedor: si trata los datos al margen de las instrucciones o para fines propios, el artículo 28.10 del RGPD lo convierte en responsable del tratamiento, con toda la carga de obligaciones y sanciones que ello supone. El contrato protege a las dos partes delimitando quién responde de qué.
Los puntos que hay que negociar (y los que no admiten pacto)
- Subencargados: el RGPD permite dos regímenes. La autorización previa caso por caso da más control al responsable; la autorización general con deber de informar es la habitual con proveedores tecnológicos que dependen de hosting y software de terceros.
- Destino final: devolución o supresión, a elección del responsable. El encargado siempre puede conservar los datos bloqueados mientras puedan derivarse responsabilidades de la prestación.
- Medidas de seguridad: el artículo 32 no impone una lista cerrada sino un nivel adecuado al riesgo. En tratamientos sensibles (salud, datos financieros) conviene anexar las medidas concretas: cifrado, control de accesos, registro de actividad.
- Lo innegociable: instrucciones documentadas, confidencialidad, notificación de brechas en 72 horas, asistencia en derechos y auditorías son contenido mínimo legal; suprimirlas invalida el contrato como instrumento del artículo 28.
Este contrato suele firmarse como anexo del contrato de prestación de servicios principal. Frente al personal interno del encargado, refuércelo con un acuerdo de confidencialidad individual. Y recuerde que el responsable sigue necesitando su propia base jurídica frente a los interesados, como el consentimiento documentado en la autorización de tratamiento de datos personales.
Preguntas frecuentes
¿Quién debe redactar y proponer el contrato de encargado, el cliente o el proveedor?
El RGPD no lo dice: obliga a que exista, y sanciona a ambos si falta. En la práctica, los grandes proveedores (SaaS, hosting) imponen su propio Data Processing Agreement estandarizado, mientras que con proveedores locales (gestorías, informáticos, seguridad) lo habitual es que el responsable proponga el suyo. Lo importante es verificar que el documento contenga todas las menciones del artículo 28.3; si el proveedor ofrece solo un compromiso de confidencialidad genérico, no es suficiente y el responsable sigue en infracción.
¿La gestoría que lleva mis nóminas es encargada del tratamiento?
Sí, es el ejemplo de manual: trata los datos de sus trabajadores (identificativos, bancarios, afiliación sindical por la cuota, incluso salud en los partes de baja) por cuenta de su empresa y siguiendo sus instrucciones. Necesita contrato del artículo 28 obligatoriamente. Distinto es el asesor fiscal en lo que actúa con criterio profesional propio frente a la administración: la AEPD y el Comité Europeo admiten que ciertos profesionales (auditores, abogados en ejercicio de la defensa) son responsables independientes en esas funciones, pero la mecánica de nóminas y seguros sociales es un encargo puro.
¿Qué pasa si el proveedor sufre una brecha de seguridad con mis datos?
El encargado debe notificarla al responsable sin dilación indebida desde que la conoce (este modelo fija el máximo de 72 horas), con la información disponible sobre su naturaleza, los afectados y las medidas adoptadas. Quien notifica a la AEPD (en 72 horas desde tener conocimiento) y, en su caso, a los interesados, es el responsable, no el encargado, salvo pacto de asistencia. Por eso la cláusula de notificación es crítica: el retraso del proveedor consume el plazo del responsable ante la autoridad y agrava su exposición a sanciones.
¿Puedo firmar un solo contrato de encargado para varios servicios del mismo proveedor?
Sí, siempre que el documento describa con precisión cada tratamiento: naturaleza, finalidad, datos e interesados de cada servicio (por ejemplo, gestoría laboral y fiscal a la vez). Lo que no es válido es un contrato genérico que no permita saber qué operaciones están autorizadas: el encargado solo puede tratar conforme a instrucciones documentadas, y una descripción vaga desprotege a ambas partes. Si con el tiempo se añaden servicios nuevos, basta un anexo que incorpore la descripción del nuevo tratamiento.
¿El contrato del artículo 28 cubre las transferencias internacionales de datos?
No por sí solo. Si el encargado o sus subencargados tratan los datos fuera del Espacio Económico Europeo (hosting en Estados Unidos, soporte desde terceros países), hace falta además una garantía del capítulo V del RGPD: decisión de adecuación (como el marco UE-EE. UU. para entidades certificadas), cláusulas contractuales tipo de la Comisión Europea o normas corporativas vinculantes. El contrato de encargado debe identificar esas transferencias y su garantía, y el responsable debe reflejarlas en su información a los interesados.