Biblioteca de cláusulas
Protección de datos: la cláusula, explicada
Una cláusula de protección de datos recoge cómo se tratan los datos personales; cuando una parte es encargada del tratamiento según el UK GDPR, el artículo 28(3) exige condiciones de encargado con nombre propio.
Última actualización: 28 de octubre de 2026
¿Qué hace una cláusula de protección de datos?
Cuando un proveedor trata datos personales para un cliente que es responsable del tratamiento, el artículo 28 del UK GDPR dice que el tratamiento debe regirse por un contrato. El artículo 28(3) enumera las condiciones de encargado que ese contrato debe contener. El mismo UK GDPR se aplica en Escocia. Las leyes de privacidad de los estados de EE. UU. son otro régimen. Ponemos esas condiciones en una página compartida.
¿Qué debe incluir un contrato de encargado del artículo 28?
El contrato debe ser vinculante y fijar el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y de interesados, y los derechos del responsable. El artículo 28(3) exige después las condiciones de encargado de (a) a (h): instrucciones documentadas, confidencialidad, seguridad, subencargados, asistencia, supresión o devolución, y auditoría.
¿Cuándo una parte es encargada y no responsable del tratamiento?
Un responsable decide los fines y medios del tratamiento. Un encargado trata por cuenta del responsable. Un estudio que guarda la lista de clientes de un cliente para enviar los correos de ese cliente suele ser encargado. Un estudio que construye su propia lista de marketing es responsable de esa lista. Nombra el rol para cada conjunto de datos para que el artículo 28 se aplique solo donde debe.
¿Puede el encargado nombrar subencargados?
Solo con la autorización previa por escrito, específica o general, del responsable. Con una autorización general, el encargado debe informar al responsable de las incorporaciones o sustituciones previstas para que pueda oponerse. Las mismas obligaciones de protección de datos deben trasladarse. El encargado inicial sigue siendo plenamente responsable ante el responsable del tratamiento por el subencargado. Escribe el método de autorización en la cláusula.
¿Qué pasa con los datos cuando termina el trabajo?
El artículo 28(3)(g) dice que, a elección del responsable, el encargado suprime o devuelve los datos personales cuando terminan los servicios y suprime las copias, salvo que el derecho nacional exija conservarlas. Combínalo con la confidencialidad y una línea de devolver o destruir para los archivos confidenciales no personales. Indica cuánto tiempo pueden conservarse los registros si una ley lo exige.
Redacción de ejemplo
Ejemplo · redacción propia
Cuando el Proveedor trate datos personales para el Cliente como encargado, el Proveedor: tratará esos datos únicamente siguiendo instrucciones documentadas del Cliente; garantizará que las personas autorizadas para tratarlos estén obligadas a la confidencialidad; adoptará las medidas de seguridad exigidas por el artículo 32 del UK GDPR; no nombrará a ningún subencargado sin la autorización previa por escrito del Cliente; ayudará al Cliente con las solicitudes de los interesados y con los artículos 32 a 36; a elección del Cliente, suprimirá o devolverá los datos al terminar los servicios, salvo que el derecho nacional exija conservarlos; y pondrá a disposición la información necesaria para demostrar el cumplimiento y permitirá auditorías.
En lenguaje claro
Si el proveedor maneja datos personales para el cliente, solo hace lo que el cliente ha documentado, los mantiene confidenciales, se ocupa de la seguridad y no incorpora a otro encargado sin visto bueno por escrito. Ayuda con los derechos individuales y los deberes de seguridad, y luego suprime o devuelve los datos al terminar el trabajo salvo que la ley obligue a guardar una copia, y deja que el cliente lo compruebe.
¿En qué debes fijarte?
| Punto | Ojo con | Pide |
|---|---|---|
| Roles | Un anexo de encargado añadido a un trato en el que ambas partes son responsables. | Una frase que nombre el rol para cada conjunto de datos. |
| Instrucciones | «Tratar según haga falta para los servicios» sin instrucciones documentadas. | Un anexo con el objeto, la duración, los tipos de datos y de interesados. |
| Subencargados | Manos libres para nombrar a cualquiera, o silencio. | Autorización previa por escrito, traslado de obligaciones y responsabilidad continuada. |
| Fin del trabajo | Ninguna línea de suprimir o devolver. | La elección del responsable, con una excepción para la conservación legal. |
| Límite | Una indemnidad de datos ilimitada por un honorario pequeño, o un límite que se traga una brecha. | Una posición nombrada frente al límite de responsabilidad y la indemnidad. |
¿Qué contratos la incluyen?
Lex incluye esta cláusula, entre otros, en:
- Contrato de prestación de servicios (contrato marco de servicios (MSA)Un contrato marco de servicios (MSA) fija los términos legales de una relación continua, y cada proyecto se acuerda después en un alcance del trabajo aparte.Más en el glosario)
- Contrato de desarrollo web
- Contrato de consultoría
¿Qué dice la ley?
El tratamiento por un encargado debe regirse por un contrato que vincule al encargado y que establezca el objeto y la duración del tratamiento, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados, y las obligaciones y derechos del responsable, incluidas las condiciones para el encargado enumeradas en el artículo 28(3)(a)–(h).
Fuente: UK GDPR, Article 28(3)Comprobado el 28 de octubre de 2026Pendiente de revisión jurídica
Redacta contrato marco de servicios con esta cláusula
Gratis para la otra parteLex lo redacta en lenguaje claro junto a la redacción legal. Comparte un único enlace; las dos partes acuerdan y firman.
Preguntas frecuentes
¿Qué significa una cláusula de protección de datos?
Recoge cómo se tratan los datos personales bajo el contrato. Cuando una parte trata datos personales para la otra como encargada según el UK GDPR, el artículo 28 exige que ese tratamiento se rija por un contrato con condiciones de encargado con nombre propio.
¿Qué debe incluir un contrato de encargado del artículo 28 del UK GDPR?
El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y de interesados, y las condiciones de encargado del artículo 28(3)(a)–(h), incluidas las instrucciones documentadas, la confidencialidad, la seguridad, los subencargados, la asistencia, la supresión o devolución, y la auditoría.
¿Cuándo es un proveedor encargado del tratamiento?
Cuando trata datos personales por cuenta del cliente en lugar de decidir él mismo los fines y medios. La cláusula debería nombrar el rol para cada conjunto de datos. El artículo 28 se aplica a las relaciones de encargado.
¿Puede un encargado usar subencargados?
Solo con la autorización previa por escrito, específica o general, del responsable. Las mismas obligaciones deben trasladarse, y el encargado inicial sigue siendo plenamente responsable ante el responsable del tratamiento por el subencargado.
¿Qué pasa con los datos personales cuando termina el contrato?
A elección del responsable, el encargado los suprime o los devuelve y suprime las copias, salvo que el derecho nacional exija conservarlos. Escribe esa elección en la cláusula.
Fuentes
- UK GDPR, Article 28(3)Comprobado el 28 de octubre de 2026Pendiente de revisión jurídica
Relacionado
Plantillas con esta cláusula
Otras cláusulas
La redacción legal es la que rigeÚltima revisión: 28 de octubre de 2026Pendiente de revisión jurídica