Contrato de encargo del tratamiento
Definición
El contrato de encargo del tratamiento es el acuerdo vinculante con el que el responsable instruye al encargado y fija las condiciones obligatorias del tratamiento en su nombre.
El art. 28(3) del RGPD fija el contenido mínimo: objeto, duración, naturaleza y finalidad del tratamiento, tipos de datos y categorías de interesados, y compromisos de que el encargado actúa solo según instrucciones documentadas, garantiza la confidencialidad, aplica medidas de seguridad, recurre a subencargados solo con autorización y en condiciones equivalentes, colabora con las solicitudes de derechos y las EIPD, suprime o devuelve los datos al final y permite auditorías. La Comisión publicó además cláusulas tipo para este contrato (Decisión de Ejecución 2021/915).
La LGPD de Brasil es menos detallada: el art. 39 exige que el operador siga las instrucciones lícitas del controlador, y los arts. 42 y 46 regulan la responsabilidad y la seguridad. Muchas leyes latinoamericanas exigen también un contrato con el encargado.
En servicios de IA, el contrato debe indicar si el proveedor puede usar datos del cliente para entrenar o mejorar modelos, dónde se almacenan, cuánto tiempo se conservan los prompts y registros, y cómo se notifican los incidentes. Ejemplo: una empresa que contrata transcripción en la nube negocia una cláusula que prohíbe reutilizar grabaciones para entrenamiento.
Dónde se evalúa este término
Evaluado en la Data Protection & AI Professional (DPAI), dominio 5: Transferencias internacionales y proveedores.
También lo cubren: Responsible AI Practitioner (RAIP), Responsible AI Auditor (AUDAI)
Fuentes primarias
- GDPR Art. 28(3)
- LGPD Art. 39
- Commission Implementing Decision (EU) 2021/915