Derecho · 7 de noviembre de 2026 · 6 min de lectura
Contrato de encargo de tratamiento: lista de comprobación para herramientas web
Cuándo necesita un contrato según el art. 28 del RGPD, qué contenido obligatorio tiene y a qué prestar atención con herramientas de análisis y marketing.
Casi todas las herramientas que usa en su sitio web tratan datos por encargo suyo: analítica web, boletín, CRM, mapas de calor, chat. En cuanto intervienen datos personales, el RGPD exige un contrato con el proveedor. Se llama contrato de encargo de tratamiento, en alemán Auftragsverarbeitungsvertrag, abreviado AV-Vertrag o AVV. Este artículo explica cuándo lo necesita, qué debe contener y qué tener en cuenta al elegir una herramienta.
Cuándo necesita un contrato de encargo de tratamiento
El art. 28 del RGPD se aplica cuando un prestador de servicios trata datos personales por encargo suyo y siguiendo sus instrucciones. Usted es entonces el responsable y el proveedor es el encargado del tratamiento. El texto legal lo encuentra en el RGPD en EUR-Lex.
No toda relación es un encargo de tratamiento. Conviene distinguir tres situaciones:
| Situación | Característica | Contrato |
|---|---|---|
| Encargo de tratamiento | El proveedor actúa solo según sus instrucciones | Contrato de encargo según el art. 28 |
| Corresponsabilidad | Usted y el proveedor deciden conjuntamente sobre fines y medios | Acuerdo según el art. 26 |
| Responsable propio | El proveedor usa los datos para fines propios | Según el caso, base jurídica propia y transferencia |
Lo decisivo es quién determina fines y medios, no cómo se llame el contrato. Un proveedor que usa los datos también para fines propios, por ejemplo para mejorar productos propios más allá del servicio que le presta a usted, deja de ser encargado del tratamiento para esa parte. Según el art. 28, apartado 10, un encargado que determina por sí mismo fines y medios es considerado responsable respecto de ese tratamiento.
Contenido obligatorio según el art. 28, apartado 3
El contrato debe fijar el objeto y la duración del tratamiento, su naturaleza y finalidad, el tipo de datos y las categorías de interesados. Además debe prever que el encargado del tratamiento:
- a) trate los datos solo siguiendo instrucciones documentadas, también en las transferencias a un tercer país,
- b) emplee a personas obligadas a la confidencialidad,
- c) adopte las medidas del art. 32,
- d) cumpla las condiciones para recurrir a otros encargados del tratamiento,
- e) le asista ante las solicitudes de los interesados,
- f) le asista en las obligaciones de los arts. 32 a 36,
- g) al terminar el servicio suprima o devuelva los datos, según su elección,
- h) aporte pruebas y permita comprobaciones.
El contrato debe constar por escrito, y basta un formato electrónico (apartado 9). La Comisión Europea ofrece un marco modelo con las cláusulas contractuales tipo para el encargo de tratamiento. Según el art. 28, apartado 6, el contrato puede basarse total o parcialmente en ellas.
Subencargados
Si el proveedor recurre a su vez a prestadores de servicios, por ejemplo un proveedor de alojamiento, se aplican dos reglas de los apartados 2 y 4 del art. 28:
- Necesita su autorización previa, específica o general, por escrito. En caso de autorización general debe informarle de cualquier cambio previsto. Usted puede entonces oponerse.
- Debe imponer a los subencargados las mismas obligaciones de protección de datos. Si un subencargado no las cumple, el primer encargado responde ante usted.
Por eso pida al proveedor una lista actualizada de sus subencargados, con sede y función.
Tercer país
Si los datos se tratan fuera de la UE y del EEE o se puede acceder a ellos desde allí, se aplican además las reglas sobre transferencias a terceros países (capítulo V, art. 44 y ss. del RGPD). Hay tres vías habituales: una decisión de adecuación de la Comisión, cláusulas contractuales tipo para la transferencia o normas corporativas vinculantes. Para EE. UU. existe desde 2023 una decisión de adecuación sobre el Marco de Privacidad de Datos UE-EE. UU.. Solo vale para empresas que participan en el marco. Está siendo impugnada judicialmente, compruebe la situación actual. Un servidor en la UE resuelve el asunto si ni el proveedor ni un subencargado de un tercer país pueden acceder a los datos.
Lista de comprobación para herramientas de análisis y marketing
- Aclarar el papel. ¿El proveedor trata solo para usted o también para fines propios?
- Revisar el contrato. ¿Figuran todos los puntos del art. 28, apartado 3?
- Describir los datos. ¿Están indicados con concreción el tipo de datos y las categorías de interesados?
- Examinar los subencargados. ¿Existe una lista y un procedimiento para los cambios?
- Preguntar por la ubicación del servidor. ¿Dónde están los datos, quién puede acceder?
- Documentar la vía del tercer país. ¿Qué base sustenta una transferencia?
- Regular la supresión. ¿Qué ocurre con los datos tras el fin del contrato?
- Leer las medidas técnicas. Cifrado, derechos de acceso, registro de actividad.
Incorpore el contrato a su documentación e incluya la herramienta en su registro de actividades de tratamiento según el art. 30 del RGPD. Sobre todo en herramientas que solo se cargan tras el consentimiento, el contrato es un segundo requisito, independiente. El consentimiento en el dispositivo no lo sustituye, como muestra § 25 TDDDG: cookies y seguimiento en Alemania.
Qué se arriesga en caso de infracción
Si falta el contrato o es incompleto, la autoridad de control puede objetarlo. Para infracciones de las obligaciones del art. 28, el art. 83, apartado 4 del RGPD prevé multas de hasta 10 millones de euros o de hasta el 2 por ciento del volumen de negocio anual mundial, según cuál sea la cuantía más alta. Es el marco, no un pronóstico para un caso concreto.
¿Y en Suiza?
La Ley suiza de protección de datos regula el tratamiento por encargados en su art. 9 LPD (DSG). La idea es similar, la formulación distinta. Quien se dirige a interesados en la UE necesita por regla general el contrato según el RGPD. Si esto se aplica a su oferta lo explica Seguimiento de sitios web en Suiza: revDSG y FMG.
Preguntas frecuentes
¿Necesito un contrato de encargo de tratamiento si la herramienta solo muestra nombres de empresas? Depende de si el proveedor trata para usted datos personales, por ejemplo direcciones IP, aunque sea de forma breve. En caso de duda, firme el contrato, cuesta casi nada. Si una dirección IP es un dato personal lo explica Dirección IP y RGPD: ¿es un dato personal?.
¿Basta con aceptar las condiciones generales del proveedor? Solo si en ellas figura todo el contenido obligatorio y la regulación se reconoce claramente como contrato o anexo. Muchos proveedores ofrecen el contrato de encargo como documento independiente para su firma.
¿Tengo que firmar el contrato? Debe constar por escrito. Según el art. 28, apartado 9, basta un formato electrónico, por eso es habitual formalizarlo con un clic.
