Contrato de encargado del tratamiento para el correo
¿Qué es un contrato de encargado del tratamiento para el correo?
Un contrato de encargado del tratamiento (DPA, art. 28 RGPD; en inglés, Data Processing Agreement) es un contrato que regula cómo trata un encargado los datos personales que trata en tu nombre. El RGPD describe en su artículo 28 lo que debe contener un contrato así.
La idea de fondo es clara: si tratas datos personales y para ello recurres a una parte externa, sigues siendo responsable de lo que ocurre con esos datos. El contrato de encargado fija por escrito los acuerdos que se aplican, para que no se quede en promesas sueltas. Piensa en la finalidad del tratamiento, las medidas de seguridad, la confidencialidad y lo que ocurre cuando termina la colaboración.
Por qué es importante
Para quien trabaja con datos de clientes, pacientes o socios, esto no es una formalidad. Si tratas datos personales y externalizas una parte, el RGPD espera que dejes los acuerdos bien documentados. Sin contrato es difícil demostrar que actúas con diligencia, y la responsabilidad sigue recayendo en ti.
También hay una cuestión práctica. Las autoridades de control y los clientes lo preguntan cada vez más. Si puedes demostrar que tienes por escrito los acuerdos con tus encargados, estás en una posición más sólida. «Eso lo acordamos de palabra» es una respuesta que genera preguntas.
Conviene matizar: no todas las situaciones requieren un contrato de encargado, y los requisitos exactos dependen de quién desempeña qué papel. Eso hace que dependa de cada caso, y a veces es sensato pedir que lo revisen.
Para las organizaciones pequeñas, este punto suele generar confusión. Oyes que «tienes que tener un contrato de encargado», pero rara vez para qué exactamente. En la práctica se trata de las partes que tratan datos en tu nombre: piensa en un programa de contabilidad, un servicio de boletines o tu proveedor de correo, según cómo lo uses. Para cada una de ellas hay que preguntarse por separado si debe haber un contrato. Tener claro qué partes son es entonces el primer paso, y el más importante.
Cómo funciona
Para saber si necesitas uno, ayuda separar los papeles:
- Responsable del tratamiento. Eres tú, si decides por qué y cómo se tratan los datos personales. Tú tienes el control.
- Encargado del tratamiento. Es una parte que trata datos personales en tu nombre, siguiendo tus instrucciones, sin decidir por sí misma la finalidad.
- El acuerdo. Si una parte externa trata datos en tu nombre, el RGPD puede exigir un contrato de encargado del tratamiento. En él figuran, entre otras cosas, el objeto y la finalidad, los tipos de datos, las medidas de seguridad, la confidencialidad, la subcontratación de otros encargados (subencargados) y lo que ocurre al terminar la colaboración.
Si un proveedor de correo cuenta como encargado en tu situación depende de cómo uses el servicio y de qué datos se traten en él. Es justo el tipo de valoración para la que, si tienes dudas, consultas a un especialista. Lo que implica además «conforme al RGPD» lo puedes leer en correo conforme al RGPD: qué significa.
A qué prestar atención
Algunos puntos de atención y malentendidos:
- Creer que siempre necesitas un contrato de encargado. No es así. Depende de los papeles y de qué se trata exactamente. No te precipites, pero tampoco lo ignores.
- Confundir los papeles. Una parte no es automáticamente «encargado». A veces un proveedor de servicios es él mismo responsable del tratamiento de determinados datos. Esa calificación determina qué acuerdos encajan.
- Firmar a ciegas un texto estándar. Un contrato debe encajar con tu situación y con los datos que tratas. Lee lo que pone y comprueba si la seguridad y los subencargados que menciona son correctos.
- Creer que el contrato hace el trabajo por ti. El papel por sí solo no te hace cumplir. Tu propia forma de trabajar, tu seguridad y tu diligencia siguen contando. Consulta también el RGPD en pequeñas organizaciones.
Lo repetimos: son puntos de atención generales, no una valoración jurídica definitiva de tu situación. Si necesitas un contrato de encargado y cuál, depende de cada caso; si tienes dudas, consulta a un especialista o a la autoridad belga de protección de datos (GBA/APD).
Y en Mailflux
Mailflux aloja tu correo en Europa, conforme al RGPD, en tu propio dominio, con conexiones cifradas, filtrado contra spam, phishing y malware, copias de seguridad automáticas y verificación en dos pasos opcional. Tu contenido no se analiza para mostrar publicidad. Esa es la base técnica y organizativa sobre la que sigues construyendo.
¿Necesitas un contrato de encargado del tratamiento para tu situación, o quieres saber qué acuerdos son posibles? Ponte en contacto con Mailflux y vemos juntos qué se puede hacer. Lo que se exige en tu caso sigue dependiendo de tu situación y de los papeles; si tienes dudas, consulta a un especialista. Encontrarás más sobre la parte del hosting en hosting de correo europeo con tu propio dominio.
FAQ
Preguntas frecuentes
¿Necesito siempre un contrato de encargado del tratamiento para mi correo?
No siempre. Depende de los papeles y de qué se trata exactamente. Si una parte externa trata datos personales en tu nombre, el RGPD puede exigir un contrato. Lo que se aplica en tu caso depende de cada situación; si tienes dudas, consulta a un especialista.
¿Qué debe incluir un contrato de encargado del tratamiento?
El RGPD (artículo 28) menciona, entre otras cosas, el objeto y la finalidad del tratamiento, los tipos de datos, las medidas de seguridad, la confidencialidad, los acuerdos sobre subencargados y lo que ocurre al terminar la colaboración. El contenido exacto depende de tu situación.
¿Ofrece Mailflux un contrato de encargado del tratamiento?
Ponte en contacto con Mailflux para ello y vemos juntos qué es posible en tu situación. La base, un hosting europeo conforme al RGPD con conexiones cifradas, está en cualquier caso. Lo que se exija además depende de cada caso; si tienes dudas, consulta a un especialista.
¿Qué diferencia hay entre un encargado y un responsable del tratamiento?
El responsable del tratamiento decide por qué y cómo se tratan los datos personales; eres tú, para tus propios clientes o socios. Un encargado trata esos datos en tu nombre, siguiendo tus instrucciones. Quién tiene qué papel determina si el RGPD espera acuerdos y cuáles.