¿Qué es un DPA?
Es el contrato entre el responsable del tratamiento (quien decide para qué se usan los datos) y el encargado (quien los trata por su cuenta: un hosting, un software en la nube, una gestoría o una agencia de marketing). Lo exige el artículo 28 del RGPD y debe constar por escrito, también en formato electrónico
¿Cuándo lo necesitas?
- Si contratas proveedores: gestoría, hosting, CRM, herramientas de correo o de facturación que acceden a datos de tus clientes o empleados
- Si vendes software o servicios a empresas: tus clientes te lo pedirán antes de firmar: tratas los datos de sus usuarios por cuenta de ellos
- Si subcontratas parte del trabajo: quien subcontrata necesita autorización del cliente y un contrato con las mismas obligaciones
¿Qué debe incluir?
- Objeto y alcance: qué tratamiento se encarga, durante cuánto tiempo, con qué finalidad, qué tipo de datos y de qué personas
- Instrucciones: el encargado solo trata los datos siguiendo las instrucciones documentadas del responsable
- Confidencialidad y seguridad: compromiso de confidencialidad del personal y medidas de seguridad adecuadas al riesgo
- Subencargados: solo con autorización previa del responsable y con las mismas obligaciones
- Colaboración: ayudar al responsable a atender los derechos de las personas, ante una brecha de seguridad y en las evaluaciones de impacto
- Fin del contrato: qué pasa con los datos al terminar: se devuelven o se suprimen, y se permite comprobarlo
Fallos que más se repiten
- Plantillas sin adaptar: contratos genéricos que no dicen qué datos se tratan ni para qué
- Subencargados sin controlar: proveedores en la nube que nadie ha autorizado ni aparecen en el contrato
- Transferencias internacionales: herramientas fuera de la Unión Europea sin las garantías que exige el RGPD