Necesidad de regularizar las relaciones con terceros

La normativa vigente en materia de protección de datos no solo dispone de obligaciones en el ámbito interno de la sociedad, uno de los aspectos más relevantes del ya tan conocido Reglamento General de Protección de Datos es la necesidad de regularizar la relación con terceras empresa o autónomos que dispongan de acceso a los datos responsabilidad de la empresa. También es importante mencionar la necesidad de normalizar la relación con terceros que no acceden a datos pero prestan un servicio en el domicilio social de la empresa o disponen de acceso a las instalaciones, ya que existe la posibilidad física de acceso a los datos, en este caso es muy importante establecer medidas de seguridad, como, por ejemplo: la existencia de un acuerdo de confidencialidad, las claves de acceso en los dispositivos…

Como bien dice el artículo 28, apartado tercero del RGPD, el tratamiento por cuenta del encargado se regirá por la existencia de un contrato a firmar entre ambas partes, contrato en el cual se establezca el objeto, la duración de la relación, duración del tratamiento, la finalidad, la responsabilidad de cada parte, así como las obligaciones de estas.

Es importante comentar que no es suficiente firmar un contrato de encargo, sino que dependiendo del tratamiento que se dé, la finalidad y demás factores, las obligaciones y medidas puestas en marcha por el encargado para cumplir los principios que marca la normativa y minimizar el riesgo existente serán diferentes como marca el artículo 32 RGPD.  Citamos textualmente “Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento (…) el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo” (artículo32.1 RGPD).

Podríamos afirmar sin miedo a equivocarnos que una de las obligaciones de mayor importancia a la hora de adecuar la actividad empresarial a la normativa vigente en materia de protección de datos es la de regular el vínculo entre la empresa y empresas contratadas o personal autónomo. Un error muy común es la falta de normalización de la relación con los autónomos que desarrollan un servicio en la empresa, al no existir relación laboral y si mercantil, se necesita establecer mediante contrato las características básicas del tratamiento de datos por parte del personal por cuenta propia.

Aún así, como hemos mencionado, se debe realizar un estudio de manera individual y personalizado de cada empresa para determinar las características que debe cumplir tanto el contrato como las medidas puestas en marcha, así como las demás obligaciones que marca la ley.