Acuerdo de tratamiento de datos (DPA)
Es el contrato obligatorio (artículo 28 del RGPD) entre un responsable del tratamiento y cualquier encargado del tratamiento que gestione datos personales en su nombre —empresas de gestión de nóminas, EOR y plataformas de prestaciones sociales—. En él se establecen las instrucciones, la seguridad, la subcontratación, la notificación de violaciones de seguridad, los derechos de auditoría y la supresión de datos al finalizar el servicio.
Cómo leer rápidamente un acuerdo de protección de datos (DPA) de un proveedor
- Instrucciones y ámbito de aplicación: el tratamiento se realiza únicamente de acuerdo con las instrucciones documentadas; los fines enumerados se ajustan al servicio.
- Subencargados del tratamiento: lista actualizada, notificación de cambios y procedimiento de oposición — las cadenas de gestión de nóminas siempre cuentan con subencargados del tratamiento.
- Transferencias: mecanismos designados (adecuación, SCC) con visibilidad por país.
- Seguridad y violaciones de seguridad: medidas concretas y plazos de notificación que te permiten cumplir con tu obligación de notificar en un plazo de 72 horas.
- Salida: devolución o eliminación con certificación — la cláusula que todo el mundo necesita y que nadie comprueba hasta que se da de baja a un proveedor.
Preguntas frecuentes
¿Es necesario un acuerdo de protección de datos (DPA) con un proveedor de servicios de gestión de recursos (EOR)?
Sí, en lo que respecta al tratamiento que realiza el EOR siguiendo tus instrucciones —y fíjate en el matiz: en lo que respecta a sus propias obligaciones como empleador (declaraciones de nóminas, seguridad social), el EOR actúa como responsable del tratamiento por derecho propio. Los buenos contratos con EOR separan explícitamente estas funciones; la ausencia de acuerdos de tratamiento de datos (DPA) es un hallazgo habitual en las auditorías a proveedores.
¿Quién firma los acuerdos de protección de datos (DPA) en un grupo?
Cada responsable que interactúa con el procesador —lo que, en la práctica, se resuelve mediante un DPA maestro de grupo con acceso para los afiliados—. Antes de crear el bloque de firmas, debe existir un esquema que indique quién controla los datos de qué empleados (empleador de origen frente a anfitrión frente a datos compartidos).