El contrato de encargado del tratamiento: las cláusulas que no pueden faltar

Es el contrato de administración de siempre: dos páginas, los honorarios, la duración y una cláusula genérica sobre «cumplimiento de la normativa de protección de datos». Nadie lo ha discutido en años. El problema es que esa frase, por sí sola, no cumple lo que exige el RGPD.

Cuando el administrador trata datos personales por cuenta de la comunidad, el artículo 28.3 del RGPD exige un contrato por escrito (puede ser electrónico) con un contenido mínimo. No basta una remisión general a la ley. Este artículo repasa las cláusulas que no pueden faltar y cómo concretarlas en una finca.

Por qué hace falta un contrato

El RGPD no permite que un responsable ceda datos a un encargado sin ataduras. Quiere que quede por escrito qué puede hacer el encargado y qué no, de modo que cualquiera pueda comprobarlo después. Para la comunidad, el contrato demuestra que eligió a un proveedor con garantías. Para el administrador, demuestra que actuó siguiendo instrucciones.

Si todavía duda de qué lado de la relación está cada uno, conviene leer antes quién es el responsable del tratamiento en una comunidad y el papel del administrador como encargado.

El contenido mínimo, cláusula a cláusula

1. Objeto, duración, naturaleza y finalidad

Describa qué servicio se presta (administración de la comunidad, contabilidad, convocatoria de juntas), durante cuánto tiempo y con qué fin. Cuanto más concreto sea, menos margen habrá para usos no previstos.

2. Tipo de datos y categorías de afectados

Enumere los datos que se van a tratar (identificación, contacto, bancarios, coeficientes, deudas) y a quién pertenecen: propietarios, inquilinos, empleados de la comunidad, proveedores. Si se tratan datos de salud, por ejemplo por una obra de accesibilidad, debe constar.

3. Tratar solo con instrucciones documentadas

El encargado solo actúa según lo que la comunidad le indica por escrito, incluidas las transferencias de datos a terceros países. Si la ley le obliga a hacer algo distinto, debe informar a la comunidad antes, salvo que la propia ley lo prohíba.

4. Confidencialidad

Las personas que traten los datos en el despacho (empleados, colaboradores) deben haber asumido un compromiso de confidencialidad o estar sujetas a una obligación legal equivalente. Conviene que el administrador conserve esos compromisos firmados.

5. Medidas de seguridad

El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo. En el contrato se pueden describir de forma proporcionada: control de accesos, copias de seguridad, cifrado de dispositivos, custodia de archivos en papel, formación del personal. No hace falta un tratado, pero sí que no sea una frase vacía.

6. Subencargados

Si el administrador quiere apoyarse en otros proveedores (asesoría laboral, programa en la nube, gestoría de cobros), el contrato debe fijar si la autorización es específica o general. En el segundo caso, el administrador informa de cualquier cambio y la comunidad puede oponerse. El subencargado queda sujeto a las mismas obligaciones.

7. Ayuda para atender derechos

El encargado debe ayudar a la comunidad, con medidas técnicas y organizativas apropiadas, a atender las solicitudes de acceso, rectificación, supresión y demás. Es útil pactar plazos internos, por ejemplo avisar a la comunidad en pocos días si un vecino escribe al despacho. Puede ampliar el tema en los derechos en materia de protección de datos.

8. Ayuda en seguridad, brechas y evaluaciones

El encargado asiste al responsable en el cumplimiento de las obligaciones de seguridad, notificación de brechas y, si procede, evaluaciones de impacto. En la práctica, esto se traduce en una cláusula de aviso rápido ante cualquier incidente.

9. Devolución o supresión al terminar

Al acabar la prestación, el administrador debe suprimir o devolver los datos, según decida la comunidad, y borrar las copias existentes, salvo que una norma obligue a conservarlos. Este punto cobra mucha importancia en los cambios de administrador: el traspaso de documentación debe hacerse con orden.

10. Información y auditorías

El encargado pone a disposición de la comunidad la información necesaria para demostrar el cumplimiento y permite auditorías o inspecciones. En una comunidad pequeña, esto puede limitarse a facilitar documentación bajo petición.

Cómo llevarlo a la práctica

• Un contrato por comunidad. Cada comunidad es un responsable distinto; el anexo de protección de datos se firma con cada una, aunque el texto sea el mismo.
• Firma del presidente. Quien representa a la comunidad es quien firma. Conviene dejar constancia en el acta de la junta.
• Revisión periódica. Si cambia el programa de gestión, aparece un proveedor nuevo o se instalan cámaras, el contrato necesita actualizarse.
• Anexos útiles. Un listado de subencargados autorizados y una descripción de las medidas de seguridad ayudan a no tocar el contrato cada vez.

Una referencia genérica a «la normativa de protección de datos» no sustituye al contrato del artículo 28.

Qué no debe hacer un contrato

No debe servir para trasladar toda la responsabilidad al administrador ni para dejar a la comunidad sin obligaciones. El responsable sigue teniendo deberes propios (informar, elegir base legal, llevar su registro) que el contrato no elimina. Tampoco puede autorizar al encargado a usar los datos para sus propios fines.

En resumen

• El contrato de encargado es obligatorio, debe ser por escrito y llevar el contenido del artículo 28.3 del RGPD.
• Incluye objeto, tipos de datos, instrucciones, confidencialidad, seguridad, subencargados, ayuda en derechos y brechas, devolución y auditorías.
• Se firma con cada comunidad y se revisa cuando cambian las circunstancias.
• No libera a la comunidad de sus obligaciones como responsable.

Revisar los contratos de administración que tiene hoy, y ver cuáles no incluyen estas cláusulas, es el siguiente paso. Si hay que actualizarlos, mejor hacerlo antes de que lo pida alguien.