Documentación y encargados del tratamiento
La relación entre el responsable y el encargado del tratamiento debe estar correctamente definida, documentada y adaptada a la realidad de cada servicio.
¿Cómo deben regularse las relaciones entre el responsable y el encargado del tratamiento?
La regulación de la relación entre el responsable y el encargado del tratamiento debe establecerse a través de un contrato o de un acto jurídico similar que los vincule. El contrato o acto jurídico debe constar por escrito, inclusive en formato electrónico.
La posibilidad de regular esta relación a través de un acto jurídico unilateral del responsable del tratamiento es una de las novedades previstas en el RGPD. En cualquier caso, debe tratarse de un acto jurídico que establezca y defina la posición del encargado del tratamiento, siempre que dicho acto lo vincule jurídicamente.
Este sería el caso, por ejemplo, de una resolución administrativa que conste notificada al encargado del tratamiento.
En cualquier caso, ya se trate de un acuerdo o de otro acto jurídico, su contenido debe reunir los requisitos establecidos en el RGPD.
Cláusulas y modelos
El contenido del acto o acuerdo puede basarse en cláusulas tipo establecidas por la Comisión Europea o por la autoridad de control, inclusive cuando formen parte de una certificación otorgada al responsable o al encargado del tratamiento.
¿Cuál es el contenido mínimo?
Como mínimo debe establecerse el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable.
Las instrucciones del responsable del tratamiento
Se deben documentar de forma precisa las instrucciones respecto del encargo realizado. Es necesario identificar de forma clara y concreta cuáles son los tratamientos de datos que realizará el encargado, atendiendo al tipo de servicio prestado y a la forma de prestarlo.
Es especialmente necesario determinar de forma clara las comunicaciones a terceros que el responsable encomienda al encargado o que se derivan del servicio prestado.
La sujeción a las instrucciones del responsable deberá producirse igualmente en el caso de las transferencias internacionales de datos que puedan tener lugar como consecuencia de la prestación del servicio.
Si el encargado del tratamiento está obligado legalmente, por el Derecho de la Unión o de un Estado miembro, a transferir datos a un tercer país, deberá informar al responsable antes de llevar a cabo el tratamiento, salvo que dicho derecho lo prohíba por razones importantes de interés público.
El deber de confidencialidad
Hay que establecer la forma en que el encargado del tratamiento garantizará que las personas autorizadas para tratar datos personales se hayan comprometido expresamente a respetar la confidencialidad o, en su caso, estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
El cumplimiento de esta obligación debe quedar documentado y a disposición del responsable del tratamiento.
Adaptamos toda la documentación
Toda la documentación, incluidos los contratos de confidencialidad, tiene como objetivo establecer correctamente la relación entre los clientes y los diferentes encargados del tratamiento, así como identificar las cuestiones que afectan directamente a la gestión y a la relación existente entre ambas partes.
En este punto ofrecemos orientación y recomendaciones para confeccionar la documentación que regula cada actividad.
Para poder ofrecer una orientación adecuada, Sierra & Salmerón Asesores, empresa del grupo Aforos, realiza un estudio de toda la documentación utilizada en relación con la actividad y su gestión.
Posteriormente adaptamos la documentación para que cumpla con la normativa de protección de datos y redactamos los contratos que regulan la relación con los diferentes encargados del tratamiento.
Estas relaciones pueden ser tan variadas como los servicios que implican acceso a datos personales. Podemos encontrar servicios cuyo objeto principal es el tratamiento de datos personales, como el alojamiento de información en servidores, y otros que tratan datos personales como consecuencia de la actividad que prestan por cuenta del responsable del tratamiento, como puede ocurrir en la gestión de determinados servicios públicos.
