Subencargados: gestoría, informático y nube, ¿quién firma con quién?

El informático del despacho entra por acceso remoto a arreglar el ordenador de la secretaria. En ese momento ve el listado de morosos de tres comunidades. ¿Quién ha dado permiso? ¿Hay un contrato? Si usted no sabe responder, este artículo es para usted.

La respuesta corta: cada eslabón de la cadena debe estar atado por un contrato, y el administrador no puede subcontratar a su aire. Veamos cómo se construye.

La cadena: de la comunidad al proveedor

Pensemos en los datos de los propietarios de una comunidad:

• La comunidad de propietarios es la responsable del tratamiento: decide para qué se usan los datos.
• El administrador de fincas es, por lo general, su encargado: trata los datos por cuenta de ella para llevar la gestión.
• Los proveedores del administrador que acceden a esos datos (la gestoría laboral, el informático, el programa en la nube, el servicio de copias) son subencargados cuando el tratamiento que hacen se hace por cuenta del administrador, para prestar el servicio a la comunidad.

El artículo 28 del RGPD (se abre en una ventana nueva) regula esta cadena. Dos reglas sostienen todo lo demás.

Regla 1: autorización del responsable

El encargado no recurrirá a otro encargado sin autorización previa, específica o general, del responsable (art. 28.2). En un contrato de gestión de comunidad, lo normal es una autorización general: la comunidad acepta que el administrador use proveedores, con el compromiso de informarla de los cambios para que pueda oponerse. Si la autorización es específica, deberá nombrar a cada proveedor.

Regla 2: las mismas obligaciones, en cascada

Cuando el administrador contrata a un subencargado, debe imponerle por contrato las mismas obligaciones de protección de datos que él asumió con la comunidad (art. 28.4). Y si el subencargado incumple, el administrador sigue respondiendo ante la comunidad. Delegar el trabajo no es delegar la responsabilidad.

Casos habituales en un despacho

No hay una respuesta única. Depende de qué haga cada proveedor con los datos:

• Gestoría laboral que lleva la nómina del portero de una comunidad: normalmente trata datos por cuenta de la comunidad, a través de usted o directamente. Hay que dejar claro, en cada caso, quién contrató a quién.
• Informático con acceso remoto: si puede ver datos de las comunidades, es un proveedor con acceso y necesita contrato, aunque su cometido sea solo mantener equipos.
• Programa de gestión en la nube: el fabricante almacena los datos en sus servidores. Es el subencargado más importante de todos. Le dedicamos un artículo para elegir un programa que cumpla el RGPD.
• Servicio de copias de seguridad, correo en la nube, firma electrónica: mismo razonamiento. Si guardan o transportan datos de las comunidades, hay contrato.
• Empresa de limpieza de la oficina o de destrucción de papel: la limpieza puede acceder a papeles sin tratarlos; la destrucción de documentación sí es tratamiento. Conviene contrato con la segunda y cláusula de confidencialidad con la primera.

No todo proveedor es subencargado. Un abogado que defiende a la comunidad, por ejemplo, suele actuar con independencia profesional y su relación se analiza aparte. En los casos dudosos, la pregunta útil es: ¿trata los datos siguiendo mis instrucciones y por cuenta mía?

Qué debe contener el contrato

El contenido mínimo del artículo 28.3 incluye, entre otros puntos:

• Objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos y categorías de afectados.
• Tratar los datos solo siguiendo instrucciones documentadas.
• Compromiso de confidencialidad de las personas autorizadas.
• Medidas de seguridad del artículo 32.
• Condiciones para recurrir a otros subencargados.
• Ayuda para atender derechos y notificar brechas.
• Supresión o devolución de los datos al terminar el servicio.
• Posibilidad de auditoría por parte del responsable.

Si el proveedor trabaja desde fuera del Espacio Económico Europeo, o el servicio incluye servidores fuera, hay que comprobar además la base jurídica de la transferencia internacional (capítulo V del RGPD). Pídaselo por escrito al proveedor; no lo suponga.

Cómo organizarlo sin volverse loco

1. Haga el inventario: una tabla con cada proveedor, qué datos ve, dónde los guarda y si hay contrato firmado.
2. Reclame los contratos que falten. Muchos proveedores serios ya tienen un modelo; pídalo antes de redactar uno propio.
3. Revise la autorización en el contrato con cada comunidad: ¿es general o específica? ¿Se comprometió a avisar de cambios?
4. Anótelo en el registro de actividades, que debe reflejar las categorías de destinatarios. Aquí está cómo se elabora el registro.
5. Actualice cada año o cuando cambie de proveedor.

Todo esto encaja en la revisión general del despacho que le proponemos como punto de partida.

Un ejemplo para fijar ideas

Imagine que su gestoría laboral lleva las nóminas del conserje de una comunidad y, para ello, usa a su vez un programa de nóminas alojado en la nube de un tercero. Tendríamos tres saltos: de la comunidad a usted, de usted a la gestoría y de la gestoría al proveedor del programa. Cada salto necesita su contrato, y cada subencargado, la autorización (general o específica) de la comunidad, que es la responsable. Si el eslabón final falla, la comunidad se dirigirá a usted, y usted tendrá que haber exigido a la gestoría las mismas garantías que le pidieron a usted.

En resumen

• Comunidad (responsable), administrador (encargado) y proveedores (subencargados): cada salto necesita contrato.
• El administrador necesita autorización de la comunidad, general o específica, para subcontratar.
• El subencargado asume las mismas obligaciones que el administrador, y este responde si falla.
• Informático, gestoría y nube suelen entrar en esta categoría; analice cada caso por lo que hacen con los datos.
• Un inventario de proveedores con contratos es el primer paso.

Si quiere saber si la cadena de proveedores de su despacho está bien atada, empiece por ese inventario y revise contrato a contrato.