{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/es\/comprender-el-papel-del-subcontratista-segun-el-rgpd-responsabilidades-e-implicaciones\/","title":{"rendered":"Entender el rol del subcontratista bajo el RGPD: Responsabilidades e implicaciones"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

Subcontratistas del RGPD: Por qu\u00e9 evaluar a sus proveedores de servicios se ha convertido en un aspecto vital para su negocio.<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

La externalizaci\u00f3n del procesamiento de sus datos a un proveedor de servicios nunca exime a la empresa de sus responsabilidades. Desde 2021, la CNIL<\/strong> ha aumentado las sanciones contra las organizaciones que no hab\u00edan evaluado o regulado adecuadamente sus Subcontratista del RGPD<\/strong> 1 mill\u00f3n de euros contra Mobius Solutions en diciembre de 2025, 1,5 millones de euros contra Dedalus Biologie, 600.000 euros contra Canal+ Group, 800.000 euros contra Discord. El mensaje es claro: externalizar el procesamiento de datos personales<\/strong> no est\u00e1 delegando el cumplimiento.<\/p>\n

Para los gerentes, el problema ha pasado de los asuntos legales a la gesti\u00f3n de riesgos. Evaluar a los proveedores de servicios, formalizar el acuerdo de subcontrataci\u00f3n del RGPD<\/strong>Supervisar la cadena de suministro a lo largo del tiempo: se trata de obligaciones legales cuyo incumplimiento resulta costoso.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Comprender el papel del subcontratista del RGPD y sus obligaciones.<\/h2>

\u00bfQui\u00e9n es un subcontratista en el sentido del RGPD?<\/h3>

El RGPD define al encargado del tratamiento de datos como cualquier persona f\u00edsica o jur\u00eddica que procesa datos. datos personales<\/strong> a nombre de controlador de datos<\/strong>Tan pronto como un proveedor de servicios accede, aloja, analiza o almacena datos personales<\/strong> que usted le conf\u00eda, \u00e9l es un subcontratista: proveedores de alojamiento en la nube, editores de SaaS, proveedores de n\u00f3minas, agencias de marketing, centros de llamadas, CRM, proveedores de correo electr\u00f3nico, empresas de mantenimiento de TI.<\/p>

La frontera con el estatus de controlador de datos<\/strong> No siempre es obvio. Un proveedor de servicios que decide sobre el prop\u00f3sito o los medios del procesamiento de datos pasa a una categor\u00eda superior y, por lo tanto, asume la plena responsabilidad. Esta es precisamente la trampa en la que cay\u00f3 Mobius Solutions Ltd, multada con un mill\u00f3n de euros por la CNIL<\/strong> En diciembre de 2025, fue sancionada por reutilizar datos de Deezer para mejorar sus propios servicios, sin recibir instrucciones de su cliente.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Las obligaciones del subcontratista, tal como se describen en el Art\u00edculo 28.<\/h3>

El art\u00edculo 28 del RGPD enumera espec\u00edficamente los obligaciones del subcontratista<\/strong> : actuar \u00fanicamente sobre instrucciones documentadas, garantizar la confidencialidad del personal autorizado, implementar medidas de seguridad t\u00e9cnicas y organizativas apropiadas, asistir a la controlador de datos<\/strong> en la gesti\u00f3n de los derechos de las personas y la denuncia de infracciones, la eliminaci\u00f3n o devoluci\u00f3n de datos al final del servicio y el mantenimiento de un registro. registro de actividades de procesamiento<\/strong> espec\u00edfico de su actividad.<\/p>

Esta \u00faltima obligaci\u00f3n suele pasarse por alto. Sin embargo, la CNIL (Autoridad Nacional de Inform\u00e1tica y Libertades de Francia) la ha citado en varias sanciones recientes, incluido el caso de Mobius Solutions. No llevar un registro implica privarse de la principal prueba de cumplimiento en caso de auditor\u00eda.<\/p>

Subcontrataci\u00f3n en cascada: la autorizaci\u00f3n previa es obligatoria.<\/h3>

Un subcontratista solo puede contratar a un subcontratista posterior ("cascada") con autorizaci\u00f3n previa por escrito, espec\u00edfica o general, de la controlador de datos<\/strong>En el caso de autorizaci\u00f3n general, el proveedor debe informar al cliente de cualquier cambio para que pueda presentar objeciones. Un proveedor de SaaS que dependa de un proveedor de alojamiento en la nube, el cual a su vez utiliza un subproveedor de monitorizaci\u00f3n, debe poder documentar cada eslab\u00f3n de la cadena.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

La obligaci\u00f3n de evaluar a los subcontratistas: un deber que con demasiada frecuencia se descuida.<\/h2>

Una obligaci\u00f3n expl\u00edcita y estructurante del RGPD<\/h3>

El art\u00edculo 28, p\u00e1rrafo 1 del RGPD es inequ\u00edvoco: controlador de datos<\/strong> \u00abSolo se contratan subcontratistas que ofrecen garant\u00edas suficientes\u00bb. Esto no es una recomendaci\u00f3n, sino una obligaci\u00f3n. Antes de firmar un contrato, el administrador debe asegurarse de que su proveedor de servicios cuente con las habilidades, los procedimientos y la organizaci\u00f3n necesarios para procesar los datos de acuerdo con la normativa.<\/p>

Esto implica un procedimiento de evaluaci\u00f3n formalizado: cuadr\u00edcula de criterios, cuestionario de cumplimiento, solicitud de documentos de respaldo (pol\u00edtica de seguridad, certificaciones, DPA<\/strong>, registro, designaci\u00f3n de un OPD<\/strong>), an\u00e1lisis de subcontratistas posteriores, verificaci\u00f3n de la ubicaci\u00f3n del servidor y cualquier posible transferencias de datos<\/strong> fuera de la UE. Esta evaluaci\u00f3n debe ser registrada y conservada; sin ella, el gerente no podr\u00e1 demostrar ni su diligencia ni su cumplimiento del principio de rendici\u00f3n de cuentas.<\/p>

Sanciones de la CNIL que deber\u00edan alertar a los gerentes<\/h3>

En 2024, el CNIL<\/strong> Emiti\u00f3 87 sanciones por un total de m\u00e1s de 55 millones de euros. Varios casos recientes demuestran que la evaluaci\u00f3n y regulaci\u00f3n de sus proveedores de servicios se ha convertido en un \u00e1rea clave de control.<\/p>

El caso de Dedalus Biologie (abril de 2022, 1,5 millones de euros) sigue siendo emblem\u00e1tico. CNIL<\/strong> La Autoridad Francesa de Competencia sancion\u00f3 a esta empresa de software para laboratorios m\u00e9dicos tras una filtraci\u00f3n masiva de datos sanitarios. M\u00e1s all\u00e1 del fallo de seguridad, la principal raz\u00f3n aducida fue la ausencia de las cl\u00e1usulas obligatorias del art\u00edculo 28 en sus contratos est\u00e1ndar. Esta decisi\u00f3n marc\u00f3 un punto de inflexi\u00f3n: ahora se puede sancionar directamente a un subcontratista por no formalizar adecuadamente la relaci\u00f3n contractual, independientemente de la responsabilidad del cliente.<\/p>

El caso de Mobius Solutions Ltd \/ Deezer (diciembre de 2025, 1 mill\u00f3n de euros) ilustra las deficiencias m\u00e1s frecuentes: retenci\u00f3n de datos m\u00e1s all\u00e1 de la finalizaci\u00f3n del contrato, procesamiento fuera de las instrucciones del cliente, falta de registro, falta de medidas de seguridad que llevaron a la publicaci\u00f3n de los datos de varios millones de usuarios en la dark web.<\/p>

El caso Discord (2022, 800.000 \u20ac) est\u00e1 dando lugar a sanciones por parte de la controlador de datos<\/strong> la ausencia de un contrato conforme al Art\u00edculo 28. Canal+ Group, multado con 600.000 \u20ac en 2022, fue penalizado en particular por la falta de acuerdos contractuales suficientes. A partir del 27 de enero de 2021, el CNIL<\/strong> inaugur\u00f3 su doctrina sancionando simult\u00e1neamente una controlador de datos<\/strong> (150.000 \u20ac) y su subcontratista (75.000 \u20ac) por no tomar medidas contra el relleno de credenciales.<\/p>

Qu\u00e9 examina la CNIL en sus auditor\u00edas<\/h3>

A medida que se toman decisiones, la red de control de la CNIL<\/strong> Los detalles se han aclarado. La autoridad est\u00e1 verificando la existencia de un Acuerdo de subcontrataci\u00f3n del RGPD<\/strong> escrito y conforme al Art\u00edculo 28, la documentaci\u00f3n de las instrucciones, la lista actualizada de subcontratistas posteriores, las medidas t\u00e9cnicas y organizativas efectivamente implementadas, los procedimientos de notificaci\u00f3n para un violaci\u00f3n de datos<\/strong>, las disposiciones para ayudar a las personas con sus derechos, las condiciones para la rescisi\u00f3n del contrato y la trazabilidad de las auditor\u00edas realizadas.<\/p>

Para preparar a su organizaci\u00f3n para estos puntos de control, nuestro Gu\u00eda completa para las auditor\u00edas de cumplimiento del RGPD<\/a><\/strong> Detalla la metodolog\u00eda que se aplicar\u00e1.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

\u00bfDesea garantizar la seguridad de su cadena de subcontrataci\u00f3n y demostrar su cumplimiento normativo?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tHable con un experto de Viqtor\u00ae.<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Creaci\u00f3n de un marco contractual s\u00f3lido: el acuerdo de subcontrataci\u00f3n del RGPD<\/h2>

Las cl\u00e1usulas obligatorias del art\u00edculo 28, p\u00e1rrafo 3<\/h3>

El Acuerdo de Procesamiento de Datos (DPA)<\/strong>, O Acuerdo de subcontrataci\u00f3n del RGPD<\/strong>debe incluir un conjunto b\u00e1sico de cl\u00e1usulas exigidas por el reglamento: objeto y duraci\u00f3n del tratamiento, naturaleza y finalidad, tipo de datos y categor\u00edas de personas, obligaciones y derechos del responsable del tratamiento. controlador de datos<\/strong>Tambi\u00e9n debe incluir ocho compromisos espec\u00edficos por parte del subcontratista: actuar conforme a las instrucciones documentadas, garantizar la confidencialidad, adoptar las medidas de seguridad necesarias, contratar subcontratistas posteriores solo con autorizaci\u00f3n, ayudar a responder a las solicitudes de particulares, prestar asistencia en materia de seguridad y notificaci\u00f3n, devolver o eliminar los datos al finalizar el contrato y poner a disposici\u00f3n toda la informaci\u00f3n necesaria para las auditor\u00edas.<\/p>

Los t\u00e9rminos y condiciones est\u00e1ndar de una editorial suelen ser insuficientes, como por ejemplo: CNIL<\/strong> Dedalus y otros proveedores de servicios, que posteriormente fueron sancionados, fueron criticados por esto. Es fundamental realizar una revisi\u00f3n contrato por contrato.<\/p>

Errores que se deben evitar al escribir<\/h3>

Varios errores suelen socavar el cumplimiento. Una cl\u00e1usula que exime totalmente al subcontratista de responsabilidad no es ejecutable contra el CNIL<\/strong> en cuanto a la v\u00edctima de una fuga. Una lista faltante o desactualizada de subcontratistas posteriores expone la controlador de datos<\/strong> a un fracaso. Las medidas de seguridad descritas vagamente son insuficientes: CNIL<\/strong> espera un documento de referencia concreto, verificable y fechado. La ausencia de un procedimiento de notificaci\u00f3n de infracci\u00f3n o plazos incompatibles con las 72 horas impuestas al controlador de datos<\/strong>, se retiene sistem\u00e1ticamente contra los subcontratistas que incumplen sus obligaciones.<\/p>

El papel central del DPO y la gobernanza de datos<\/h3>

EL OPD<\/strong> El responsable de protecci\u00f3n de datos (RPD) desempe\u00f1a un papel fundamental: lidera la evaluaci\u00f3n de los proveedores de servicios, valida las cl\u00e1usulas contractuales, supervisa el registro de subcontratistas y alerta a la direcci\u00f3n sobre los riesgos. En ausencia de OPD<\/strong>Estas misiones deben ser llevadas a cabo por una funci\u00f3n claramente identificada. gobernanza de datos<\/a> Depende en gran medida de esta capacidad para mantener la relaci\u00f3n con los subcontratistas a lo largo del tiempo.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Gesti\u00f3n de la relaci\u00f3n a lo largo del tiempo: auditor\u00edas, seguimiento e incidentes.<\/h2>

Una obligaci\u00f3n continua, no una formalidad de firma.<\/h3>

Incluirlo en un contrato no es suficiente. controlador de datos<\/strong> debe garantizar con el tiempo que su proveedor de servicios respete sus compromisos: auditor\u00edas peri\u00f3dicas, revisi\u00f3n anual de los DPA<\/strong>, actualizaci\u00f3n sistem\u00e1tica en caso de cambio (nuevo subcontratista posterior, nuevo alcance, nueva ubicaci\u00f3n del servidor).<\/p>

All\u00e1 CNIL<\/strong> es expl\u00edcito: el uso de un subcontratista nunca exime de responsabilidad controlador de datos<\/strong> de su deber de diligencia. La sanci\u00f3n a Canal+ se bas\u00f3 precisamente en la constataci\u00f3n de que no se implement\u00f3 una supervisi\u00f3n efectiva de los proveedores de servicios. Por el contrario, una empresa capaz de elaborar informes de auditor\u00eda, cuestionarios completos y planes de acci\u00f3n demuestra su diligencia, incluso en caso de incidente.<\/p>

EL M\u00f3dulo de subcontratistas de Viqtor<\/a> Centraliza la evaluaci\u00f3n, el contrato, los subcontratistas posteriores, las auditor\u00edas y el historial de intercambios en un \u00fanico repositorio.<\/p>

C\u00f3mo responder a una violaci\u00f3n de datos que involucra a un proveedor de servicios.<\/h3>

Una proporci\u00f3n significativa de las infracciones reportadas cada a\u00f1o a la CNIL<\/strong> implica un subcontratista. El controlador de datos<\/strong> Por lo tanto, es imprescindible incluir un sistema de alerta r\u00e1pida en el contrato desde el principio. El subcontratista est\u00e1 obligado a informar a su cliente "lo antes posible", lo que en la pr\u00e1ctica significa entre 24 y 48 horas para que la notificaci\u00f3n se realice dentro del plazo legal de 72 horas. CNIL<\/strong>Nuestra p\u00e1gina dedicada a la declaraci\u00f3n sobre violaci\u00f3n de datos<\/a> \u00c9l detalla los pasos.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Lo que debes tener en cuenta<\/h2>