Qué artículo lo exige
El artículo 28.3 del RGPD exige que el encargo se rija por un contrato que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados. Debe obligar al encargado, entre otras cosas, a seguir instrucciones documentadas, guardar confidencialidad, aplicar las medidas del artículo 32, no subcontratar sin autorización, ayudar al responsable y devolver o suprimir los datos al terminar.
El artículo 28.7 permite a la Comisión fijar cláusulas contractuales tipo. Lo hizo en la Decisión de Ejecución (UE) 2021/915, de 4 de junio de 2021 (DOUE L 199, de 7 de junio de 2021). Su anexo tiene las cláusulas y cuatro anexos: lista de partes, descripción del tratamiento, medidas técnicas y organizativas, y lista de subencargados.
Las cláusulas tipo son un texto oficial: se usan sin cambiar su contenido, y lo que se adapta son los anexos. Nuestra plantilla trae el texto oficial completo, en español, y los anexos ya rellenos con el ejemplo de un instalador.
Ejemplo: instalador que mantiene el CCTV de una comunidad
Una comunidad de propietarios contrata a una empresa de seguridad y electricidad para el mantenimiento de sus ocho cámaras y el grabador. El técnico accede al grabador en remoto para revisar fallos y, si la comunidad lo pide por escrito, extrae imágenes para entregarlas a la policía.
- Anexo I · Partes. Responsable: la comunidad, representada por su presidente o administrador. Encargado: la empresa instaladora.
- Anexo II · Tratamiento. Imágenes de vecinos y visitantes. Operaciones: acceso para mantenimiento, extracción por orden escrita. Plazo: las imágenes se borran en un mes como máximo (artículo 22 de la LOPDGDD).
- Anexo III · Medidas. Acceso remoto cifrado, contraseñas únicas por instalación, registro de accesos, técnicos con compromiso de confidencialidad y extracciones solo con orden escrita.
- Anexo IV · Subencargados. Por ejemplo, el servicio en la nube del fabricante del grabador si se usa para el acceso remoto.
Errores frecuentes
- No firmar nada porque «solo lo mantenemos». Si puedes ver las imágenes, eres encargado.
- Usar un contrato genérico sin describir la instalación concreta.
- Extraer grabaciones por una llamada de teléfono. Pide siempre la instrucción por escrito.
Vista previa de la estructura del contrato
| Parte | Contenido | Base |
|---|---|---|
| Cláusulas 1-5 | Finalidad, invariabilidad, interpretación, jerarquía y adhesión | Decisión (UE) 2021/915 |
| Cláusula 7 | Instrucciones, seguridad, documentación, subencargados | Art. 28.3 RGPD |
| Cláusulas 8-9 | Asistencia al responsable y violaciones de seguridad | Arts. 32-36 RGPD |
| Anexo III | Medidas técnicas y organizativas del instalador | Art. 32 RGPD |
El Word trae los anexos I a IV rellenos con el ejemplo de la comunidad, en gris para sustituir.
Genérala rellena con tus datos
En Fati esta plantilla sale con los datos de tu empresa y se mantiene al día con tu trabajo de cada día.