Vas a enviar nóminas y facturas a una gestoría. ¿Basta con aceptar su presupuesto antes de compartir los datos? Si va a tratarlos siguiendo tus instrucciones y por tu cuenta, la relación debe regularse mediante un contrato u otro acto jurídico vinculante con el contenido del artículo 28 del RGPD. Un compromiso de confidencialidad, por sí solo, no recoge todo ese contenido.
Primero identifica el servicio concreto. No todos los proveedores actúan como encargados en todos sus trabajos: la AEPD distingue a quien decide los fines y medios del tratamiento de quien procesa los datos siguiendo las instrucciones de otro.
Describe para qué recibirá cada grupo de datos
«Gestionar la empresa» dice muy poco sobre lo que puede hacer el proveedor. Resulta más útil concretar si preparará nóminas, llevará la contabilidad o presentará declaraciones a partir de las facturas que entregues. También permite detectar información que no necesita para el servicio contratado.
Por ejemplo, preparar una nómina no convierte automáticamente en necesario enviar toda una carpeta de comunicaciones personales del empleado. Pide que te indiquen qué datos hacen falta para la tarea. La duda no se resuelve acumulando documentos por si acaso.
El artículo 28 exige que el contrato identifique el objeto, duración, naturaleza y finalidad del tratamiento, el tipo de datos personales y las categorías de interesados, además de las obligaciones y derechos del responsable. Utiliza esa descripción para comprobar si el texto que firmas corresponde al trabajo que realmente has contratado.
El papel del proveedor depende de lo que haga con la información
Según la AEPD, quien utiliza datos personales para fines determinados y decide sobre esos fines o sus medios actúa como responsable del tratamiento. Quien los almacena o procesa siguiendo las instrucciones del responsable actúa como encargado de ese tratamiento.
Por tanto, no clasifiques todos los servicios de una empresa únicamente por su nombre comercial. Pregunta qué actuación se hará por tu cuenta y bajo qué instrucciones. Si un uso no forma parte de esa tarea, necesita su propia explicación; no queda autorizado porque el proveedor ya tenga acceso a las facturas.
Identifica también quién contrata: la persona que desarrolla la actividad o la sociedad correspondiente. La guía de autónomo y SL ayuda a separar ambas realidades al organizar la gestión del negocio. El encargo de datos debe identificar a las partes que intervienen en el tratamiento concreto.
La confidencialidad es una parte del encargo, no el encargo entero
| Parte del servicio | Qué debe quedar definido |
|---|---|
| Preparación de nóminas o contabilidad | Finalidad, datos necesarios, duración e instrucciones documentadas |
| Personas con acceso | Compromiso de confidencialidad y medidas de seguridad |
| Intervención de otro proveedor | Autorización previa y condiciones de subcontratación |
| Peticiones de una persona sobre sus datos | Asistencia para atender los derechos que correspondan |
| Terminación del servicio | Devolución o supresión, copias y conservación legal aplicable |
El RGPD permite que el contrato conste por escrito en formato electrónico. Lo importante es que vincule a las partes y contenga las condiciones exigidas, no que se utilice obligatoriamente un documento en papel separado del presupuesto.
Si estás preparando el traspaso de la gestión, consulta con Alexis qué tareas y documentos necesita Taxea para llevar tu contabilidad o tus nóminas. Esa delimitación permite concretar el encargo antes de dar acceso a una carpeta completa.
Pregunta qué ocurre si interviene otra empresa
El encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable, específica o general. Cuando es general, debe informar de los cambios previstos para que exista la oportunidad de oponerse. El artículo 28 también exige trasladar al otro encargado las obligaciones de protección que correspondan.
Esta pregunta es práctica cuando el servicio utiliza herramientas o colaboradores para realizar el trabajo por tu cuenta. Pide una explicación de qué parte realizan y cómo se gestiona su intervención. No confundas «usamos una aplicación» con una respuesta completa sobre quién tratará los datos.
No se trata de exigir que una sola persona haga todo. Se trata de conocer el circuito y las condiciones del servicio antes de introducir información de clientes o empleados en él. El contrato debe poder explicar la operativa que después vas a utilizar.
Un cambio de gestoría permite comprobar si el acuerdo funciona
Supuesto ilustrativo: un pequeño estudio cambia de gestoría y quiere trasladar la gestión de nóminas. Tiene un presupuesto de la nueva empresa y acceso a una carpeta donde conviven documentos laborales y archivos de clientes que no pertenecen a ese servicio.
Antes del envío, concreta la tarea con el nuevo proveedor y selecciona los documentos necesarios para ella. Revisa el encargo, quién tendrá acceso y cómo se entregarán. Así evita que aceptar un precio termine interpretándose como permiso para utilizar toda la carpeta con cualquier finalidad.
Al terminar el servicio anterior, el artículo 28 prevé, a elección del responsable, la devolución o supresión de los datos personales y la supresión de las copias, salvo la conservación exigida por el Derecho aplicable. El estudio pide que se concrete cómo se ejecutará esa salida. No ordena borrar documentos que deban conservarse ni supone que recibir una copia haya cerrado todos los accesos.
Deja preparado cómo pedir ayuda sobre un dato
El encargo debe contemplar la asistencia al responsable para responder a solicitudes sobre los derechos de las personas, así como otras obligaciones de seguridad previstas en el Reglamento. Decide desde el principio a quién comunicarás una petición y qué información necesitará para ayudarte.
La guía de protección de datos del autónomo explica el recorrido general de la información. Aquí la decisión es más concreta: acordar cómo se tratarán los datos que entregas para un servicio de gestión.
Para organizar esa contratación, lleva a Alexis la relación de tareas que quieres delegar y el tipo de documentación que manejas. Taxea podrá delimitar el servicio y los accesos que necesita; las cuestiones específicas de protección de datos que excedan de esa gestión requieren su revisión correspondiente.
