Si contratas a un proveedor que trata datos personales por tu cuenta (gestoría, hosting, backup en la nube, CRM, soporte informático), el RGPD te obliga a tener firmado con él un contrato de encargado del tratamiento. Sin ese contrato, la responsabilidad recae igualmente sobre ti como empresa.
Es uno de los puntos que más pymes dejan sin cerrar: se contrata el servicio, se paga la factura, pero nunca se firma el contrato de encargado que exige el artículo 28 del RGPD. Y es un documento distinto del contrato mercantil del servicio.
El artículo 28 del RGPD obliga a que la relación entre responsable y encargado del tratamiento se rija por un contrato u otro acto jurídico vinculante, y establece un contenido mínimo obligatorio: objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos, categorías de interesados, y las obligaciones del encargado.
¿Qué es un encargado del tratamiento?
Es cualquier proveedor externo que trata datos personales por cuenta de tu empresa, siguiendo tus instrucciones, sin decidir él mismo para qué se usan esos datos. Tú sigues siendo el responsable del tratamiento; el proveedor es el encargado.
¿Cuándo necesito este contrato?
Con cualquier proveedor que, para prestarte su servicio, acceda a datos de tus clientes, empleados o usuarios. Algunos ejemplos habituales en una pyme:
Backup y almacenamiento en la nube. El proveedor guarda copias de tus datos.
Gestoría y asesoría. Accede a nóminas y datos de empleados.
CRM o software de gestión. Almacena tu base de datos de clientes.
Soporte informático remoto. Puede acceder a equipos con datos personales.
Envío de comunicaciones o email marketing. Trata la lista de contactos.
¿Qué debe incluir el contrato?
Como mínimo: el objeto y duración del tratamiento, su naturaleza y finalidad, el tipo de datos y categorías de interesados, las obligaciones del encargado (confidencialidad, medidas de seguridad, ayuda ante ejercicios de derechos), el régimen de subencargados si los hay, y qué ocurre con los datos al finalizar el contrato (devolución o destrucción).
Preguntas frecuentes
¿Necesito un contrato distinto por cada proveedor?
Sí, cada proveedor que trate datos por tu cuenta necesita su propio contrato de encargado, aunque puede integrarse como anexo del contrato de servicio principal.
¿Y si el proveedor ya me da un contrato tipo?
Es habitual y válido, pero conviene revisarlo: debe cubrir el contenido mínimo del artículo 28 y no solo proteger al proveedor.
¿Qué pasa si no lo tengo firmado?
Ante una inspección o una brecha de seguridad, la falta de contrato de encargado es una de las carencias que más frecuentemente sanciona la AEPD, además de dejarte sin cobertura si el fallo es del proveedor.
Artículo relacionado: RGPD para pymes: qué debes tener en regla en 2026.
¿Tienes todos tus contratos de encargado en regla?
Revisamos con qué proveedores tratas datos y qué contratos te faltan por firmar. Consulta nuestro servicio de cumplimiento continuo o llámanos al 624 053 410.