Esta publicación es muy positiva, pues marca un estándar que se puede seguir con tranquilidad por parte de responsables y encargados del tratamiento. Incluso si las partes se basan parcialmente (y no totalmente) en el Contrato de Encargo Tipo, la propia Comisión Europea reconoce la validez de dichas cláusulas, en tanto no contradigan el mismo.
Algunos apuntes que es importante tener en cuenta:
- Si un responsable y un encargado del tratamiento han suscrito las cláusulas contractuales tipo de la Comisión Europea en el marco de una transferencia internacional, no es preciso que firmen además el Contrato de Encargo Tipo. La Comisión Europea entiende que las primeras ya cubren las obligaciones previstas en el artículo 28 del RGPD. Sin embargo, esto no sucede a la inversa. El Contrato de Encargo Tipo no sustituye la necesidad de firmar un contrato de transferencia internacional de datos, en su caso.
- Como se adelantaba anteriormente, es posible que la utilización del Contrato de Encargo Tipo no siempre sea la opción con mejor encaje dentro de un contrato principal. Por ejemplo, cuando el contrato principal no sea muy extenso y la utilización del Contrato de Encargo Tipo no resulte práctica. Por ello se permite expresamente su modificación para adaptarlo a situaciones contractuales concretas, mientras no se contradigan las obligaciones previstas en el mismo.
El Contrato de Encargo Tipo se ajusta de manera bastante fiel (como no podía ser de otra manera) al contenido de las obligaciones del artículo 28 del RGPD, por lo que puede ser una muy buena herramienta para ser utilizada por responsables y encargados del tratamiento. Sin embargo, una segunda lectura revela que en contadas ocasiones va más allá de lo que señala el propio artículo 28 del RGPD:
- Se impone la existencia de una cláusula de tercero beneficiario en los contratos entre el encargado y el subencargado del tratamiento (en su caso), de manera que el responsable pueda contactar directamente con el subencargado en caso de que el encargado desaparezca o devenga insolvente.
- El encargado del tratamiento debe informar al responsable del tratamiento sin demora en caso de que tenga conocimiento de que los datos personales tratados en el contexto del encargo son inexactos o si se han quedado obsoletos o desfasados.
- En relación con las auditorías, se permite que sean "a intervalos razonables o cuando haya sospechas de incumplimiento". Asimismo, se le da oportunidad al responsable de que pueda reemplazar dicha auditoría en caso de que el encargado disponga de certificaciones que demuestren su nivel de cumplimiento con la normativa.
- En caso de que el responsable solicite al encargado copia de los contratos entre este y sus subencargados, se permite que el encargado borre secciones de los contratos para proteger secretos comerciales y/o información confidencial.
La publicación del Contrato de Encargo Tipo es una muy buena noticia, pues es una referencia "oficial" muy a tener en cuenta por todos los actores en el mundo de la protección de datos. En cualquier caso, esta valiosa herramienta no debe ser aplicada "a ciegas", sino que responsables y encargados del tratamiento deben valorar si las cláusulas previstas en el Contrato de Encargo Tipo se ajustan a la realidad del contrato y a la operativa de la empresa.
Authored by Gonzalo F. Gállego, Clara Lázaro y Juan Ramón Robles.
