Este próximo 25 de mayo de 2022, finaliza el plazo para la adaptación de los contratos, en materia de protección de datos, con nuestros proveedores. Desde ese momento, no resultarán validos los contratos firmados al amparo de la Ley Orgánica 15/1999. 

En este sentido, la LOPDGDD, introdujo una disposición transitoria quinta para que los contratos entre responsables y encargados se adapten en un plazo máximo de cuatro años –cuando sean indefinidos– o cuando se realice la primera prórroga.

El contrato de confidencialidad y acceso a datos por cuenta de terceros (contrato de encargado de tratamiento) deben formalizarlo aquellas empresas o profesionales, con sus proveedores de servicios, cuando esta prestación de servicios requiera un acceso directo o indirecto a datos de carácter personal. El Reglamento (UE) 2016/679, de 27 de abril, de protección de datos de carácter personal (en adelante RGPD), define este acuerdo como un “contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable”.

La normativa anterior, en este caso, la LOPD 15/1999, regulaba este acuerdo en su art. 12, exigiendo la formalización, y destacando que no resultaba tan exigente con los prestadores de servicios como resulta la normativa vigente.

En cuanto a la obligación de firma de este contrato, se encuentra consagrada en el art. 28 del RGPD y el art. 33 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos de carácter personal y garantía de los derechos digitales (en adelante LOPDGDD).

Por otro lado, en cuanto a los intervinientes en el acuerdo, el art. 4 del RGPD, define al Responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento”; mientras que el encargado del tratamiento resulta definido como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”.

En relación a las particularidades y contenido mínimo del acuerdo, tal y como deviene de lo establecido por el legislador:

• Es un documento que define las responsabilidades, vínculos y acuerdos de las partes. 
• No resultan válidos los acuerdos verbales, debiendo constar por escrito.
• En cuanto al contenido, debe regular el objeto, duración, naturaleza y finalidad del tratamiento de datos que se encarga; tipo de datos personales tratados; categorías de interesados de los que el encargado tratará datos directa o indirectamente; obligaciones y derechos del responsable; particularidades de la subcontratación de servicios; las obligaciones del encargado. 

Por otro lado, el art. 28.1 del RGPD, establece la obligatoriedad del Responsable de “elegir únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado”.

Además, en relación a las consecuencias de no formalización del acuerdo de encargado de tratamiento, el art. 73 de la LOPDGDD califica el hecho como infracción grave, estableciendo que:

“j) La contratación … de un encargado de tratamiento que no ofrezca las garantías suficientes para aplicar las medidas técnicas y organizativas apropiadas…”.

“k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito conforme el artículo 28.3 RGPD”.

“l) La contratación por un encargado … de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles” .

De igual modo, tal y como deviene de lo establecido en el art. 74 de la LOPDGDD, el hecho conllevará la calificación de infracción muy grave en los siguientes supuestos:

“j) Que el encargado no comunique al responsable acerca de la posible infracción por una instrucción recibida de este de las disposiciones del RGPD…”. 

“k) El incumplimiento por el encargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable del tratamiento”.

Como consecuencia de lo anterior, podemos determinar que el contrato de encargado del tratamiento, no solo da cumplimiento a la normativa vigente, sino que define las responsabilidades entre las partes y exige a los prestadores de servicios mayor diligencia y garantías. 

Desde GRUPO DATA, como consultoría especializada en materia de protección de datos, nos encontramos a su disposición para regular estas cuestiones y aclararle las dudas que le surjan. 

Publicado el 25 de Marzo de 2022
Por María González
Responsable del Departamento Jurídico

El desarrollo de políticas basadas en la igualdad efectiva, tiene su máximo exponente en la figura del Plan de Igualdad, como instrumento destinado a la integración de la igualdad en las relaciones laborales, así como, en todos los ámbitos de gestión de la entidad. 

El Real Decreto-ley 6/2019, de 1 de marzo, de medidas urgentes para garantía de la igualdad de trato y de oportunidades entre mujeres y hombres en el empleo y la ocupación, incorporó cambios muy significativos en la Ley Orgánica 3/2007, de 22 de marzo, para la igualdad efectiva de mujeres y hombres, en materia de planes de igualdad.

Entre estas importantes novedades, encontramos la modificación del artículo 45.2, estableciendo la obligatoriedad de que todas las empresas con cincuenta o más personas trabajadoras deberán elaborar y aplicar un plan de igualdad.

A efectos de que la ampliación de las empresas obligadas a realizar el plan de igualdad se realizará de modo paulatino, se incorporó una disposición transitoria décimo segunda a la Ley Orgánica 3/2007, de 22 de marzo, siendo ésta:

1. Las empresas que tengan una plantilla mínima, de acuerdo con los siguientes plazos de aplicación paulatina:

• • Desde el pasado 7 de marzo de 2020, ya deben tener aprobado los planes de igualdad las empresas que tengan entre 151 y 250 personas trabajadoras.
  • A partir del 7 de marzo de 2021, deberán tener aprobado los planes de igualdad las empresas que tengan entre 101 y 150 personas trabajadoras.
  • A partir del 7 de marzo de 2022, deberán tener aprobado los planes de igualdad las empresas que tengan entre 50 y 100 personas trabajadoras

Además, resultará obligatoria la aprobación e implantación de un Plan de igualdad, para todas aquellas entidades que:

2. La obligación se establezca a través del Convenio Colectivo de aplicación.

3. Cuando la autoridad laboral hubiera acordado en un procedimiento sancionador la sustitución de las sanciones accesorias por la elaboración y aplicación de dicho plan. 

El Real Decreto-ley 6/2019, de 1 de marzo, reguló importantes precisiones con respecto al contenido del diagnóstico y el plan de igualdad.  De un lado, las materias que deben obligatoriamente ser tratadas en el diagnóstico, siendo el contenido mínimo del plan de igualdad, por otro lado, los requisitos formales para la implantación del mismo. En cuanto a la obligatoriedad de confección de la Auditoría Salarial, todas las empresas que elaboren un plan de igualdad deben incluir en el mismo una auditoría retributiva, con los requisitos de contenido exigidos por el legislador.

Como entidad especializada en el asesoramiento en materia de cumplimiento normativo, nos encontramos a su entera disposición ante cualquier duda que pueda surgirle. 

Publicado el 25 de Febrero de 2022
Por María González
Responsable del Departamento Jurídico