Encargado del tratamiento: tu hosting y tu agencia

Si has llegado hasta aquí probablemente te ha pasado una de estas dos cosas: tu hosting te ha mandado un correo con un anexo de encargado del tratamiento y no sabes si tienes que firmarlo, o alguien te ha comentado que la agencia que te lleva la web debería tener un contrato de protección de datos contigo y no lo tiene. La pregunta de fondo es la misma en los dos casos: si el que la lía es tu proveedor, ¿respondes tú?

La respuesta corta es que ante la Agencia Española de Protección de Datos respondes tú casi siempre, porque el responsable de los datos de tus clientes eres tú. Ese contrato que te mandan a firmar es justo lo que reparte obligaciones y te permite reclamar después. Aquí vas a ver quién es quién, qué papeles necesitas de verdad, cuáles no, y cómo pedirlos sin liarte ni parecer un abogado. Esto no es asesoramiento jurídico: es la explicación práctica para saber qué exigir y en qué momento sí conviene llamar a uno.

Responsable, encargado y subencargado explicados con tu propia web

Coge tu web y sigue el recorrido de un dato. Un cliente rellena el formulario de contacto y deja su nombre, su correo y su teléfono.

Responsable del tratamiento: tú. Tú decidiste poner ese formulario, qué campos pide, para qué vas a usar esos datos y cuánto tiempo los guardas. Quien decide el para qué y el cómo es el responsable, y esa condición no se delega en nadie.
Encargado del tratamiento: quien toca esos datos por cuenta tuya. El hosting, porque el mensaje acaba en una base de datos alojada en su servidor. La agencia, porque entra en tu wp-admin y ve los envíos del formulario. Ninguno de los dos decide para qué se usan: siguen tus instrucciones.
Subencargado: el proveedor de tu proveedor. La agencia guarda las copias de seguridad en un servicio en la nube. El hosting alquila el centro de datos a un tercero. Tú no los has contratado, pero tus datos pasan por ahí.

La regla práctica es sencilla: si alguien puede ver, copiar o guardar datos de tus clientes y no decide para qué se usan, es encargado del tratamiento. Y con cada uno de ellos necesitas un contrato.

Ojo con un caso que despista: cuando el otro decide por su cuenta qué hacer con los datos ya no es encargado, sino responsable independiente o corresponsable. Si tu negocio vive de ceder o cruzar datos, eso ya es terreno de abogado especializado.

Lista real de encargados que tiene una pyme sin saberlo

Cuando le pides a un gerente la lista de sus encargados, la respuesta suele ser «el hosting». Y luego aparecen ocho más. Estos son los habituales:

El hosting o el proveedor de servidores.
La agencia o el informático que lleva el mantenimiento de la web.
La herramienta de email marketing o newsletter.
El CRM, y también esa hoja de cálculo compartida en la nube donde está la cartera de clientes.
La gestoría o asesoría laboral, que trata las nóminas de tu personal.
El sistema de reservas o citas online.
El chat de la web y cualquier formulario de terceros incrustado en ella.
La centralita virtual si graba llamadas, y la empresa de videovigilancia si te lleva las cámaras.
El servicio externo de copias de seguridad, cuando no es el mismo del hosting.

Puedes montar esta lista hoy en veinte minutos con tres fuentes: las facturas recurrentes del último año, la pantalla Plugins de tu WordPress y la pantalla Usuarios con quién tiene acceso al panel. Esa lista, además, es media tarea del registro de actividades de tratamiento. Si quieres ver dónde encaja esto dentro del resto de obligaciones, tienes el mapa completo en la guía sobre qué normativa de protección de datos y ciberseguridad obliga de verdad a una pyme en España.

Qué exige el RGPD antes de contratar a uno: garantías suficientes

El artículo 28 del RGPD dice dos cosas. La primera, que solo puedes elegir encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Es decir, que elegir al más barato sin mirar nada ya es una decisión que tendrás que defender. La segunda, que la relación tiene que estar regulada por un contrato por escrito.

Ese contrato (lo verás llamado anexo de encargado, DPA o acuerdo de tratamiento de datos) tiene un contenido mínimo tasado. Debe recoger el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de afectados. Y además debe incluir que el encargado:

Trata los datos solo siguiendo tus instrucciones documentadas, incluidas las transferencias fuera de la Unión Europea.
Garantiza la confidencialidad de las personas que acceden a esos datos.
Aplica las medidas de seguridad exigidas por el artículo 32.
No subcontrata sin autorización tuya.
Te ayuda a atender los derechos de los interesados: acceso, rectificación, supresión, oposición.
Te asiste en materia de seguridad, brechas y evaluaciones de impacto.
Al terminar el servicio, devuelve o suprime los datos según lo que tú decidas.
Pone a tu disposición la información necesaria para demostrar que cumple y permite auditorías.

Ahora la parte honesta. Para una web corporativa de cinco páginas con un formulario de contacto, esto son tres folios que tu hosting ya tiene redactados y publicados en su web. Descargarlo, firmarlo y guardarlo es cuestión de diez minutos y no necesitas pagar a nadie por ello. Donde sí merece la pena que un abogado especializado revise el texto es cuando tratas datos de salud, datos de menores, otras categorías especiales o volúmenes altos de clientes: ahí una cláusula mal puesta se paga cara.

Subencargados: la cadena que nadie revisa

El encargado no puede subcontratar libremente. Necesita tu autorización, que puede ser específica (te pide permiso caso por caso) o general (te dice de antemano que puede subcontratar, con la obligación de informarte de los cambios y darte la posibilidad de oponerte). Y responde ante ti de lo que haga su subcontratado como si lo hubiera hecho él mismo.

La cadena típica de una pyme es más larga de lo que parece: tú contratas a la agencia, la agencia aloja tu web en un hosting, el hosting usa un centro de datos de un tercero y la agencia guarda las copias en otro servicio distinto. Cuatro eslabones, y tú solo conoces uno.

Lo que hay que pedir es concreto: la lista de subencargados y el compromiso de avisarte con antelación cuando cambie. Los proveedores serios la tienen publicada en una página fija de su web. Revísala mirando también dónde están ubicados: si aparecen empresas de fuera de la Unión Europea (y casi siempre aparecen, porque el correo, la analítica o el almacenamiento suelen serlo), entras en el terreno de las transferencias internacionales de datos a Estados Unidos, que tiene sus propios requisitos y su propia documentación.

Si tu proveedor sufre una brecha, ¿quién responde ante la AEPD?

Aquí está el motivo real por el que este tema importa. Si entran en el servidor donde vive tu web y se llevan la base de datos con tus clientes, quien tiene la obligación de notificar a la AEPD eres tú, el responsable. Tu hosting tiene la obligación de avisarte a ti sin dilación indebida, y a partir de ese aviso el reloj corre en tu tejado. El plazo de referencia son 72 horas desde que tienes constancia, y el procedimiento completo lo tienes desglosado en la guía para notificar una brecha de datos a la AEPD dentro de las 72 horas.

Esto no deja libre al proveedor: el encargado también puede ser sancionado por incumplir sus propias obligaciones y tú puedes reclamarle los daños. Pero el orden importa: primero cumples tú frente a la Agencia y frente a tus clientes, y después reclamas.

De ahí sale la cláusula más práctica de todas: el plazo máximo en el que tu proveedor tiene que avisarte de un incidente, por escrito y por un canal concreto. Si tu hosting tarda cuatro días en contártelo, tu plazo se ha consumido antes de que tú supieras nada. Esa cláusula y el resto de las que deberías exigir están desarrolladas en el artículo sobre las cláusulas de seguridad que casi nunca aparecen en un contrato de mantenimiento web.

Cómo pedir la documentación a un proveedor sin parecer un abogado

No hace falta mandar un requerimiento formal. Un correo corto y educado funciona mejor, y además te deja la prueba de que lo pediste. Algo así:

Asunto: Documentación de protección de datos del servicio

Hola:
Estoy revisando la documentación de protección de datos de la empresa
y necesito de vuestro servicio:

1. El contrato o anexo de encargado del tratamiento firmado.
2. La lista actual de subencargados y en qué países están.
3. En qué plazo y por qué canal nos avisaríais de un incidente
   de seguridad que afecte a nuestros datos.
4. Qué copias hacéis, cada cuánto y cuánto las conserváis.
5. Quién de vuestro equipo tiene acceso a nuestro entorno.

Gracias.

Qué esperar. Los hostings grandes contestan con un enlace: lo tienen publicado. Las agencias pequeñas muchas veces no tienen nada preparado, y no suele ser mala fe sino desconocimiento; una respuesta razonable es «no lo tenemos, danos dos semanas». Guarda tu correo y su respuesta: esa carpeta es tu prueba de diligencia el día que alguien pregunte.

Señales de que un proveedor no cumple y no piensa cumplir

Te dice que «eso lo lleva mi abogado» y el documento no llega nunca.
No sabe decirte en qué país están alojados tus datos.
Todo su equipo entra en tu web con un único usuario administrador compartido, de modo que es imposible saber quién hizo qué y cuándo.
Se niega a poner por escrito un plazo de aviso ante un incidente.
No puede darte la lista de subencargados, o te asegura que no subcontrata nada cuando es evidente que sí.
Te dice que el RGPD no le aplica «porque solo son correos electrónicos».
No sabe cuándo se comprobó por última vez que una copia de seguridad tuya se restaura de verdad.

Que aparezca una de estas señales no es motivo para cambiar de proveedor mañana. Lo sensato es pedirlo por escrito, dar un plazo razonable y documentar la respuesta. Si después de dos peticiones seguís igual, ya no es un olvido puntual: es su forma de trabajar, y el riesgo que creías haber comprado lo estás asumiendo tú.

Un último apunte práctico: los papeles ordenan responsabilidades, pero no te dicen cómo está tu web hoy. Antes de dar por buena la respuesta de tu proveedor, comprueba gratis en qué estado te tiene tu proveedor la web. El análisis se hace desde fuera, sin registro y sin tocar nada, y te da algo concreto y verificable que llevar a la siguiente conversación con él.

Seguir leyendo en esta sección

Ver todo en RGPD y protección de datos → · Mapa completo del sitio