2026-10-29

Antes de que un proveedor toque los datos de tus clientes, pídele el contrato del artículo 28

Montar un chatbot, conectar un CRM o poner una agenda con recordatorios suele significar que alguien ajeno a tu negocio ve datos de tus clientes. Antes de la primera prueba con datos reales conviene saber qué pide la ley y qué preguntar.

Esto es una lista de preguntas para hablar con quien te lo monte. No es asesoramiento jurídico, y tampoco dice si tu caso concreto es o no un tratamiento por cuenta de otro, porque eso depende de cada situación. Si tienes dudas, consúltalas con un profesional o con la Agencia Española de Protección de Datos.

Qué dice el artículo 28

El artículo 28 del Reglamento general de protección de datos regula al encargado del tratamiento, que es la persona o la empresa que trata datos personales por cuenta de otra, el responsable. Si alguien trata los datos de tus clientes por cuenta tuya, tú serías el responsable y esa persona o empresa, el encargado. Estas son cinco cosas que pide el artículo, con sus palabras entre comillas.

• Elegir bien. El responsable «elegirá únicamente un encargado que ofrezca garantías suficientes» de medidas técnicas y organizativas (apartado 1).
• Contrato por escrito. El tratamiento «se regirá por un contrato u otro acto jurídico» que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de personas y las obligaciones y derechos del responsable (apartado 3).
• Solo con tus instrucciones. El encargado tratará los datos «únicamente siguiendo instrucciones documentadas del responsable», también cuando se trate de enviarlos a un país fuera de la Unión (apartado 3, letra a).
• Sin otros proveedores a escondidas. No recurrirá a otro encargado «sin la autorización previa por escrito, específica o general, del responsable» (apartado 2).
• Al terminar. A elección del responsable, «suprimirá o devolverá todos los datos personales» y borrará las copias, salvo que una ley exija conservarlos (apartado 3, letra g).

El apartado 3 incluye más obligaciones, como la confidencialidad de quien accede a los datos, las medidas de seguridad, la ayuda para atender los derechos de las personas y la información necesaria para auditorías. Aquí solo recogemos las que más se notan en una conversación con un proveedor.

Y hay una más que conviene conocer. Si el encargado decide por su cuenta los fines y los medios del tratamiento, será considerado responsable de ese tratamiento (apartado 10).

Cinco preguntas antes de la primera prueba con datos reales

Salen de lo anterior y son criterio nuestro. Sirven para empezar la conversación, no para sustituir el contrato.

1. ¿Qué datos va a ver? El tipo de datos y de personas, no «los de la agenda» en general.
2. ¿Para qué los va a usar? Solo para lo que tú le has pedido y por escrito.
3. ¿Durante cuánto tiempo, y salen de la Unión Europea? Duración y destino de los datos.
4. ¿A quién más se los pasa? Otros proveedores que use por debajo, y con tu autorización por escrito.
5. ¿Qué hace con ellos cuando termina? Los borra o te los devuelve, a tu elección, y borra las copias.

Un ejemplo inventado. Una clínica ficticia contrata un chatbot de citas. Antes de la primera prueba con pacientes reales pide por escrito qué datos recibe el proveedor, a qué otros proveedores los envía y cómo se borran al terminar. Si no contestan, ya sabe algo.

Mientras la prueba se haga con datos inventados, no hay datos personales de nadie en juego. Es la forma más sencilla de empezar y la que recomendamos para ver si una automatización funciona antes de meter datos reales.

Lo que dice la Agencia sobre el contrato

La Agencia Española de Protección de Datos, junto con la Autoritat Catalana de Protecció de Dades y la Agencia Vasca de Protección de Datos, tiene unas directrices para elaborar estos contratos. De lo que hemos leído, la guía recuerda cuatro cosas.

• El acuerdo debe constar por escrito, también en formato electrónico (página 4).
• Los tratamientos que se encargan deben quedar claramente delimitados en él (página 3).
• El encargado «en ningún caso puede variar las finalidades y los usos de los datos ni los puede utilizar para sus propias finalidades» (página 3).
• Contratar a un encargado no quita la responsabilidad al responsable, que «continúa siendo responsable del correcto tratamiento de los datos personales» (página 4).

Sus modelos de cláusulas son orientativos y no tienen la consideración de cláusulas tipo del artículo 28.8, según el propio documento. En las páginas que leímos no consta la fecha de la guía, así que mira en la web de la Agencia si hay una versión más reciente.

Qué puedes hacer hoy

Guarda las cinco preguntas y llévalas a la próxima reunión con quien te monte una automatización, sea con nosotros o con otra persona. Si lo que estás valorando es automatizar algo en tu negocio, en el diagnóstico de 20 minutos hablamos de qué datos tocaría. La parte jurídica la tiene que revisar un profesional, y no damos plantillas de contrato.

Fuentes

Leídas el 29 de octubre de 2026.

• Reglamento (UE) 2016/679, artículo 28, en el ejemplar del Diario Oficial de la UE L 119 de 4 de mayo de 2016 alojado en el BOE, páginas L 119/49 y L 119/50. Es el texto tal como se publicó en 2016, y no hemos comprobado si hay rectificaciones posteriores.
• AEPD, APDCAT y Agencia Vasca, Directrices para la elaboración de contratos entre responsables y encargados del tratamiento. Hemos leído solo el arranque, hasta la página 4. No hemos leído el apartado de contenido mínimo ni el anexo con los modelos.

Qué cubre este artículo y qué no

El ejemplo es inventado. No decimos que un proveedor concreto sea o no encargado del tratamiento ni que tu empresa esté obligada a algo en particular. Las cinco preguntas son una propuesta editorial de IAutoPYMES y no un texto legal. No es asesoramiento jurídico.