Contratos con encargados y transferencias internacionales de datos

Transmisión y transferencia no son lo mismo

La ley distingue entre la transmisión, que ocurre cuando un tercero trata los datos por cuenta del responsable y siguiendo sus instrucciones, y la transferencia, que ocurre cuando el tercero los recibe para tratarlos por cuenta propia. De esa distinción dependen las obligaciones de cada parte y el documento que hay que firmar. Confundirlas es el origen de la mayoría de los contratos que no sirven cuando se necesitan.

El primer paso es entonces clasificar cada relación: quién decide sobre los datos, quién solo ejecuta, quién los usa además para sus propios fines. Ese último caso aparece más de lo que se cree, sobre todo en plataformas tecnológicas cuyas condiciones permiten usar la información para mejorar su propio producto.

Los flujos que casi siempre aparecen

• Nómina, seguridad social y bienestar tercerizados, con datos de empleados y de sus beneficiarios.
• Proveedores de nube, hosting y respaldo, donde suele estar alojado todo lo demás.
• Plataformas de mercadeo, envío masivo de correo y publicidad digital.
• Centros de contacto, servicio al cliente y cobranza externa.
• Casa matriz, filiales y servicios compartidos del grupo en el exterior.
• Herramientas de analítica, seguimiento web y sistemas con componentes de inteligencia artificial.
• Aliados comerciales con los que se comparten bases para campañas conjuntas.

Qué debe decir el contrato con el encargado

• Alcance e instrucciones. Qué datos recibe, para qué exactamente y qué no puede hacer con ellos, incluido usarlos para fines propios.
• Seguridad. Medidas concretas y no declarativas, con control de accesos y confidencialidad del personal del proveedor.
• Subcontratación. Si puede apoyarse en terceros, con qué autorización y trasladándoles las mismas obligaciones.
• Incidentes. Deber de avisar sin demora, con qué información mínima y a quién dentro de la empresa.
• Derechos de los titulares. Cómo colabora el encargado cuando un titular pide acceso, corrección o supresión.
• Auditoría y evidencia. Qué puede verificar el responsable y qué certificaciones o reportes debe entregar el proveedor.
• Terminación. Devolución o eliminación de la información, plazos y constancia de que ocurrió.

Cuando el proveedor impone su propio formato —lo habitual con las plataformas internacionales— la discusión deja de ser sobre el texto ideal y pasa a ser contractual: qué se puede negociar, qué compensación exigir y qué riesgo asume la empresa a sabiendas. Esa negociación la asumimos con nuestra práctica de contratos.

Cuando el dato sale del país

La regla general limita el envío de datos a países que no ofrezcan un nivel adecuado de protección, y la autoridad mantiene un listado de los países que sí lo ofrecen. Cuando el destino no está en ese listado, hay caminos previstos: el consentimiento expreso e inequívoco del titular, los supuestos que la propia ley exceptúa y la declaración de conformidad ante la Superintendencia. Elegir el camino correcto depende del tipo de dato, de la finalidad y de quién es el destinatario.

• Identificación del país de destino real, que muchas veces no es el del domicilio del proveedor sino el de sus servidores.
• Definición de si el flujo es transmisión o transferencia y del instrumento que corresponde a cada uno.
• Redacción del contrato de transmisión con cláusulas que sirvan también frente a los titulares.
• Preparación de la declaración de conformidad cuando ese es el camino aplicable.
• Ajuste de la política y del aviso para que el flujo internacional quede efectivamente anunciado.

Qué recibe el cliente

• El mapa de proveedores y flujos, con la clasificación de cada relación y el documento que le corresponde.
• La revisión de los contratos existentes, con los vacíos señalados y la redacción de reemplazo propuesta.
• Los contratos y anexos de tratamiento de datos redactados, listos para firmar.
• La estructura del flujo internacional, con el instrumento elegido y su justificación por escrito.
• Una lista de preguntas para hacerle a un proveedor nuevo antes de contratarlo.