Tratamiento de datos conforme al RGPD: elegir proveedor

La mayoría de las empresas elige a su proveedor de limpieza de direcciones en este orden: comparar opciones, revisar el precio, hacer una prueba, firmar. El contrato de encargo de tratamiento llega en PDF desde la web del proveedor, se archiva, y el asunto se da por cerrado.

Ahí está el malentendido. El contrato del artículo 28.3 del RGPD regula cómo debe trabajar el encargado. No dice nada sobre si realmente puede hacerlo. Esa obligación aparece un apartado antes: el artículo 28.1 exige recurrir únicamente a encargados que ofrezcan «garantías suficientes» para aplicar medidas técnicas y organizativas apropiadas. La elección del proveedor es, por tanto, una obligación autónoma, y el principio de responsabilidad proactiva del artículo 5.2 le obliga a poder demostrarlo.

En una inspección, la AEPD rara vez se conforma con el contrato. Pregunta sobre qué base se seleccionó a ese proveedor. Sin una respuesta documentada, un contrato firmado no basta. Este artículo detalla cómo se hace esa comprobación, cuánto cuesta en horas de trabajo y qué dos puntos se saltan prácticamente todas las pymes españolas.

Elegir es una obligación, no solo contratar

El artículo 28.1 no define qué son las «garantías suficientes». El Comité Europeo de Protección de Datos lo concretó en sus directrices sobre los conceptos de responsable y encargado: se trata del conocimiento experto, la fiabilidad y los recursos del proveedor, y la comprobación debe realizarse antes de la firma y quedar documentada.

De ahí se deriva una consecuencia incómoda. La responsabilidad no se traslada al proveedor. Si su encargado provoca una brecha de seguridad, usted sigue siendo el destinatario de la obligación de notificación del artículo 33 y de las reclamaciones de indemnización del artículo 82. El contrato le abre una vía de repetición, pero no le quita la responsabilidad principal.

El límite sancionador por infringir el artículo 28 asciende, según el artículo 83.4, a 10 millones de euros o el 2 % de la facturación mundial. Para una pyme española, las multas efectivamente impuestas por la AEPD se mueven en un rango de 2.000 a 50.000 EUR. Conviene tener presente que la AEPD es, año tras año, la autoridad de control que más resoluciones sancionadoras dicta de toda la Unión Europea, con diferencia. El daño real suele estar en otro sitio: en la notificación en 72 horas, en la comunicación a los afectados del artículo 34 y en el tiempo que ambas cosas consumen.

Qué datos salen realmente de su empresa

Antes de auditar a un proveedor, audite el fichero. La protección más eficaz en una limpieza de direcciones consiste en no exportar determinadas columnas. El artículo 5.1.c impone la minimización de datos, y en un fichero de direcciones esa obligación se cumple en diez minutos.

Una exportación típica de CRM tiene este aspecto:

Extracto del fichero destinado al proveedor:

ID | Trato | Nombre  | Apellidos        | Dirección              | CP    | Población | Nacimiento | Fact_2025 | Nota
17 | Sra.  | María   | García Soler     | Calle Gran Vía 28      | 28013 | Madrid    | 12.03.1971 |  4.820,00 | paga tarde
18 | Sr.   | Antonio | Rodríguez Peña   | Avenida Diagonal 405   | 08008 | Barcelona | 08.11.1965 | 12.400,00 | reclamación
19 | Sr.   | Javier  | Martínez Ortega  | Calle Colón 12         | 46004 | Valencia  | 24.07.1988 |    990,00 |
20 | Sr.   | A.      | Rodriguez Peña   | Avda. Diagonal 405     | 08008 | Barcelona | 08.11.1965 | 12.400,00 | ¿duplicado?

Necesario para la deduplicación y la agrupación por hogar:
  ID, Trato, Nombre, Apellidos, Dirección, CP, Población

Eliminar antes de exportar:
  Nacimiento -> sin función alguna en un cotejo de direcciones
  Fact_2025  -> secreto comercial, agrava el perjuicio ante una fuga
  Nota       -> texto libre con valoraciones, sujeto al derecho de acceso
                del artículo 15 y ajeno a un proceso de deduplicación

La columna ID es la vía de retorno. El proveedor devuelve el fichero depurado, usted lo reintegra cruzando por identificador, y las columnas sensibles nunca han salido de su sistema. De 9 campos transmitidos se pasa a 7, y los dos suprimidos son justamente los que marcan la diferencia entre un incidente molesto y una brecha notificable.

Esta reducción es además un argumento de auditoría. Un proveedor que exige el fichero completo porque su importador no funciona de otro modo tiene un problema de producto, que se convierte en su problema de cumplimiento.

El cuestionario: diez preguntas y sus señales de alarma

Envíe estas preguntas por escrito y conserve la respuesta. Un proveedor preparado responde en media hora. Lo que tarde en contestar ya forma parte de la respuesta.

Pregunta	Respuesta sólida	Señal de alarma
¿Dónde se tratan, almacenan y respaldan los datos?	Ubicaciones concretas de tratamiento, copias y registros	«En la Unión Europea» sin nombrar las sedes
¿Qué subencargados intervienen?	Lista actualizada con nombre, sede, finalidad y aviso de cambios	«Trabajamos con distintos colaboradores»
¿Quién accede a los datos en claro?	Política de permisos y registro de accesos inalterable	Remisión únicamente a acuerdos de confidencialidad
¿Cuánto permanecen los datos tras finalizar el encargo?	Plazo en días, certificado de supresión, ciclo de copias indicado	«Los borramos con prontitud»
¿Hay socios o matriz fuera de la UE?	Respuesta clara sobre la estructura societaria	Evasivas o remisión al aviso legal
¿Qué certificación tienen y con qué alcance?	Certificado con alcance de aplicación, no solo un logotipo	Sello sin documento ni fecha de validez
¿En qué plazo nos comunican una brecha?	Plazo declarado inferior a 24 horas y contacto identificado	Ningún plazo indicado
¿Cómo nos asisten con los derechos de los afectados?	Procedimiento descrito con tiempo de respuesta	«Bajo petición»
¿Podemos auditar, y de qué forma?	Cuestionario y posibilidad de auditoría presencial	Solo autodeclaración sin justificantes
¿Usan nuestros datos para fines propios?	Excluido por contrato, también para entrenar modelos	«Análisis anonimizados» en las condiciones

La última fila es la más reciente y la que más se pasa por alto. Desde que los proveedores enriquecen sus procesos con aprendizaje automático, muchas condiciones generales incluyen una cláusula de uso de datos de cliente para mejorar el servicio. En un fichero de direcciones eso no es menor: un modelo de detección de duplicados entrenado con su cartera ha visto esos nombres. Lea las condiciones en ese punto concreto, no la página comercial.

La pregunta del plazo de notificación es más dura de lo que parece. El artículo 33.2 obliga al encargado a informarle «sin dilación indebida». Pero su propio plazo de 72 horas frente a la AEPD empieza a contar desde que usted tiene conocimiento. Si el proveedor tarda tres días, su plazo se ha consumido antes de que supiera siquiera que ha ocurrido algo.

Qué acreditan las certificaciones y qué no

ISO 27001 es el justificante que enseña casi cualquier proveedor. La norma certifica un sistema de gestión de la seguridad de la información, es decir, el proceso con el que una empresa identifica y trata sus riesgos. Es un buen indicio de seriedad, pero no es una certificación de protección de datos ni una prueba de conformidad con el RGPD.

Lo decisivo es el alcance, la llamada declaración de aplicabilidad. Un certificado puede cubrir la explotación del centro de datos de un subcontratista y dejar fuera el desarrollo de software del propio proveedor. No pida el logotipo, pida el certificado con su alcance y su fecha de validez.

Dos particularidades españolas merecen atención. Si el proveedor trabaja también para la Administración pública, la certificación en el Esquema Nacional de Seguridad (Real Decreto 311/2022) es un nivel de exigencia claramente superior a ISO 27001 y suele ser un buen filtro previo. Y en el ámbito publicitario existe un código de conducta sectorial aprobado por la AEPD conforme al artículo 40 del RGPD, gestionado por AUTOCONTROL; la adhesión de un proveedor a un código aprobado sí es un elemento que el propio RGPD reconoce como demostración de garantías suficientes.

El RGPD prevé en el artículo 42 una certificación propia que sí acreditaría conformidad. Los esquemas aprobados siguen siendo escasos, de modo que en la práctica casi ningún proveedor podrá presentarle uno. No es un motivo de exclusión, simplemente significa que la comprobación le corresponde a usted.

El control de transferencias fuera de la UE, casi siempre olvidado

La ubicación de los servidores se comprueba. La estructura del capital, no. Y ahí está el riesgo.

En cuanto se tratan datos personales fuera de la Unión o son accesibles desde fuera, entran en juego los artículos 44 y siguientes. Para Estados Unidos existe de nuevo una decisión de adecuación desde julio de 2023, basada en el Marco de Privacidad de Datos UE-EE. UU. Está vigente, está recurrida ante los tribunales europeos y, sobre todo, no opera de forma general: la empresa receptora debe figurar certificada en la lista oficial del marco, con la certificación en vigor y cubriendo la categoría de datos correspondiente. La consulta lleva dos minutos en dataprivacyframework.gov, y esa captura pertenece a su expediente.

El segundo punto es el acceso sin transferencia. Un grupo estadounidense con filial europea puede verse obligado, en virtud de la CLOUD Act, a entregar datos alojados en servidores situados en la Unión. Saber dónde está el disco duro no basta. Hay que saber quién puede acceder al sistema y a qué ordenamiento jurídico está sujeta esa entidad.

Tres preguntas suelen resolverlo:

1. ¿Quiénes son los socios y dónde están establecidos?
2. ¿El soporte o el equipo de desarrollo acceden a datos de producción desde fuera de la Unión, por ejemplo para diagnósticos?
3. ¿Dónde están las copias de seguridad, los registros y los sistemas de las herramientas de monitorización utilizadas?

Si alguna respuesta apunta a un tercer país, necesitará, más allá de las cláusulas contractuales tipo del artículo 46, un análisis documentado del derecho aplicable en el país de destino. Ese análisis no es un formulario, es trabajo de redacción, y es la razón por la que una auditoría seria lleva más tiempo del que casi nadie presupuesta.

Cuánto cuesta la comprobación y qué evita

El cálculo parte de una pyme con unas 12.000 direcciones, cuatro campañas de mailing postal al año y un proveedor externo para la depuración. El coste horario interno considerado es de 65 EUR, porque este trabajo recae normalmente en la dirección o en el delegado de protección de datos, no en administración.

Tarea	Carga inicial	Carga anual
Envío del cuestionario y análisis de respuestas	4 h	–
Revisión de medidas de seguridad y certificados	3 h	1 h
Control de transferencias y estructura societaria, evaluación de riesgo	5 h	1 h
Revisión del contrato y negociación de ajustes	2 h	–
Registro de actividades de tratamiento y archivo	2 h	1 h
Total de horas internas	16 h	3 h

El resultado: 16 horas a 65 EUR son 1.040 EUR de auditoría inicial. Una revisión del contrato por un despacho cuesta, sobre un contrato estándar, entre 600 y 1.500 EUR; tomemos 900 EUR. El seguimiento anual supone 3 horas a 65 EUR, es decir 195 EUR. En tres años el total asciende a 1.040 + 900 + 390 = 2.330 EUR, y eso al margen de cualquier licencia o cuota.

Dos factores agrandan la cifra. Se aplica por proveedor, y la mayoría de las empresas no tiene uno sino de tres a cinco en el ámbito de direcciones y clientes: herramienta de depuración, empresa de manipulado y envío, alojamiento del CRM, plataforma de email. Y se repite cuando el proveedor cambia de subencargado, porque entonces la base de su evaluación deja de estar vigente.

Enfrente no hay un ingreso directo, solo un riesgo evitado. Precisamente por eso esta partida es la primera que se salta: no tiene contrapartida visible mientras no ocurra nada. La valoración honesta es esta: 2.330 EUR en tres años frente a un riesgo sancionador de entre unos miles y varias decenas de miles de euros, más la carga de notificación. Estadísticamente la comprobación sale a cuenta; en cada caso concreto no necesariamente, y conviene poder decirlo.

El escenario en el que la pregunta ni siquiera surge

Existe una configuración en la que toda esa carga desaparece: cuando no interviene ningún encargado del tratamiento.

Si trata sus direcciones exclusivamente en sus propios equipos, no hay proveedor cuyas garantías deba evaluar. Ni cuestionario, ni control de transferencias, ni contrato, ni seguimiento anual. El tratamiento sigue siendo inscribible en el registro del artículo 30, pero las 16 horas iniciales y las 3 horas anuales desaparecen por completo. Las obligaciones que sí subsisten en ese caso se detallan en el artículo sobre la limpieza de direcciones conforme al RGPD.

ListenFix está construido exactamente para ese escenario: software de escritorio en su propio equipo, con detección de duplicados, validación de códigos postales y agrupación por hogar ejecutándose en local, sin que el fichero de direcciones se transmita en ningún momento. No hay, por tanto, encargo de tratamiento del artículo 28, y el cuestionario anterior queda sin objeto. Para consultas médicas, despachos de abogados y asesorías, sujetos además al secreto profesional del artículo 199 del Código Penal, suele ser la única variante viable sin consentimiento expreso de los afectados. Descargar ListenFix gratis.

No es una recomendación universal. A partir de unas 50.000 direcciones con importaciones continuas desde varios sistemas, un proveedor especializado con acceso a datos de referencia y de cambio de domicilio sigue siendo la mejor opción, y entonces la auditoría es inevitable. La pregunta no es si la nube es mejor que el equipo local, sino si el beneficio del tratamiento externalizado compensa los 2.330 EUR de comprobación y la responsabilidad continuada que los acompaña.

Un paso español que se olvida antes de cada envío

Hay una obligación adicional que no depende del proveedor y que afecta a cualquier campaña de publicidad postal en España. Si el envío se ampara en el interés legítimo y no en un consentimiento expreso, el artículo 23 de la LOPDGDD obliga a consultar los sistemas de exclusión publicitaria antes de la campaña. En la práctica eso significa cotejar el fichero contra la Lista Robinson gestionada por Adigital y retirar a quienes figuren inscritos.

Ese cotejo es, técnicamente, otra deduplicación: cruzar dos listas y eliminar coincidencias. Merece la pena integrarlo en el mismo paso de depuración, porque ahorra una manipulación adicional del fichero y deja constancia documental de que la consulta se realizó.

Documentar la elección para que resista una inspección

Una comprobación que no se puede localizar no sirve de nada. Cree un expediente por proveedor, en formato digital si lo prefiere, y conserve seis elementos:

1. El cuestionario con las respuestas originales, fechadas y con remitente
2. El documento de medidas de seguridad y los certificados, como fichero y no como enlace
3. La consulta del marco de transferencias o el análisis del tercer país, con la fecha de consulta
4. El contrato firmado y la lista de subencargados
5. Una nota justificativa de la elección, media página basta: alternativas valoradas, criterios decisivos, riesgos residuales
6. Un aviso de revisión anual, en la agenda y no en la memoria

El punto 5 es el que casi nadie tiene y el que más peso adquiere en una inspección. Demuestra que se tomó una decisión, no solo que se firmó un contrato. El contenido obligatorio de ese contrato, las cláusulas imprescindibles y los errores más frecuentes se detallan en el artículo sobre el contrato de encargo de tratamiento.

La carga se concentra en el primer año y después baja a tres horas anuales. Quien la asume solo después de un incidente hace exactamente el mismo trabajo, pero con prisa, con abogado y con un plazo de 72 horas corriendo.