Protección de datos en la práctica: registro de actividades de tratamiento, contratos de encargo y brechas de datos
Qué anotar en el registro, qué acordar con los proveedores y qué hacer en los primeros días después de una brecha de datos.
En este tema: Tecnología y datos 18
Cuando un cliente grande envía su cuestionario de proveedores, o cuando un correo con nóminas sale hacia una dirección equivocada, nadie pregunta por la política de privacidad de la web. La pregunta es si la empresa puede enseñar tres documentos de protección de datos: el registro de actividades de tratamiento, los contratos de encargo con sus proveedores y el registro de brechas, también de las que no se notificaron.
La referencia es el Reglamento General de Protección de Datos (RGPD) de la UE. En España lo completa la Ley Orgánica 3/2018 (LOPDGDD), y la autoridad es la Agencia Española de Protección de Datos (AEPD) (fuente: BOE, diciembre de 2018). El RGPD alcanza también a empresas de fuera de la UE que ofrecen bienes o servicios a personas en la Unión o controlan allí su comportamiento (fuente: EUR-Lex, abril de 2016). La última sección compara seis países latinoamericanos.
Con el RGPD, casi todo empleador necesita un registro de actividades de tratamiento: la excepción para organizaciones de menos de 250 personas no cubre tratamientos habituales como las nóminas (fuente: EUR-Lex, abril de 2016). Cada proveedor que trata datos personales por cuenta de usted necesita un contrato de encargo con un contenido mínimo. Una brecha con riesgo se notifica a la AEPD en un máximo de 72 horas, y a las personas afectadas cuando el riesgo es alto (fuente: EUR-Lex, abril de 2016).
- Registro
- Encargados
- Brechas
- Transferencias
Responsable y encargado del tratamiento: quién decide y quién ejecuta
El RGPD asigna a cada organización un papel en cada tratamiento. Sus obligaciones dependen mucho más de ese papel que de su tamaño.
Dato personal es toda información sobre una persona identificable, por ejemplo mediante un nombre, un número de identificación, datos de localización o un identificador en línea (fuente: EUR-Lex, abril de 2016). El tratamiento de categorías especialesCategorías especialesDatos que el RGPD protege con más rigor, como los de salud, origen étnico, religión, afiliación sindical, datos biométricos, vida sexual u orientación sexual. de datos, como los de salud, está prohibido salvo que se aplique una excepción (fuente: EUR-Lex, abril de 2016).
El responsable determina los fines y medios del tratamiento; el encargado trata los datos por cuenta del responsable (fuente: EUR-Lex, abril de 2016). Una asesoría con cuarenta empleados es responsable de sus propias nóminas y de los expedientes de sus clientes, y su proveedor de nóminas y su almacenamiento en la nube son encargados; cuando procesa las nóminas de un cliente, suele ser encargado de ese cliente. Un encargado puede a su vez recurrir a un subencargadoSubencargadoUn proveedor al que su encargado confía parte del trabajo, como el proveedor en la nube que hay detrás de un servicio de nóminas..
En España, la LOPDGDD considera responsable a quien, en nombre propio y sin que conste que actúa por cuenta de otro, se relaciona con los afectados, y al encargado que usa los datos para sus propios fines (fuente: BOE, diciembre de 2018).
Quién necesita un registro de actividades de tratamiento
Responsables y encargados deben llevar por escrito, también en formato electrónico, un registro de sus actividades de tratamiento y ponerlo a disposición de la autoridad de controlAutoridad de controlLa autoridad pública independiente que vigila el cumplimiento de la protección de datos; en España, la AEPD. que lo solicite (fuente: EUR-Lex, abril de 2016).
La excepción para organizaciones de menos de 250 personas es estrecha: solo vale si el tratamiento no entraña riesgo, es ocasional y no incluye categorías especiales ni datos sobre condenas penales (fuente: EUR-Lex, abril de 2016). Las nóminas se hacen cada mes, así que no son ocasionales. La UE estudia aligerar esta obligación para las pymes (fuente: Consejo de la UE, junio de 2026), pero hasta que cambie la norma rige la regla actual.
Lleve una línea por actividad con lo que pide el RGPD (fuente: EUR-Lex, abril de 2016); en España, la LOPDGDD confirma la obligación para responsables y encargados (fuente: BOE, diciembre de 2018):
- Quién es usted: datos de contacto del responsable y, si lo hay, del delegado de protección de datos.
- Fines: para qué trata los datos.
- Personas y datos: categorías de interesados y de datos personales.
- Destinatarios: a quién se comunican, también en otros países.
- Transferencias: las que van a terceros países y, en algunos casos, sus garantías.
- Conservación: si es posible, los plazos previstos de supresión.
- Seguridad: si es posible, una descripción general de las medidas.
Añada la base jurídica, como el contrato, una obligación legal, el consentimiento o el interés legítimo (fuente: EUR-Lex, abril de 2016): el registro no la exige, pero casi todas las preguntas empiezan por ahí. Para tratamientos de escaso riesgo, la herramienta gratuita Facilita RGPD de la AEPD genera un registro de actividades, cláusulas para los contratos de encargo y un anexo de medidas de seguridad (fuente: AEPD, noviembre de 2026).
Qué debe incluir un contrato de encargo del tratamiento
Recurra solo a encargados que ofrezcan garantías suficientes y formalice la relación en un contrato por escrito, que puede ser electrónico (fuente: EUR-Lex, abril de 2016).
Quien decide por sí mismo qué hace con los datos, como la autoridad tributaria, es responsable por su cuenta y no firma contrato de encargo.
Aparte de describir el tratamiento (objeto, duración, fin, tipos de datos e interesados), el contrato debe recoger ocho puntos (fuente: EUR-Lex, abril de 2016):
- Instrucciones: tratar los datos solo con instrucciones documentadas, también para transferencias.
- Confidencialidad: compromiso de todas las personas autorizadas.
- Seguridad: las medidas que exige el RGPD.
- Subencargados: solo con autorización previa por escrito y con las mismas obligaciones.
- Derechos: ayuda con las solicitudes de acceso, rectificación o supresión.
- Brechas y evaluaciones: ayuda con la seguridad, las brechas y las evaluaciones de impacto.
- Fin del contrato: supresión o devolución de los datos, a elección del responsable.
- Auditorías: información para demostrar el cumplimiento y posibilidad de auditorías.
En España, la LOPDGDD permite también entregar los datos a un nuevo encargado al terminar el servicio, y el encargado puede conservarlos bloqueados mientras puedan derivarse responsabilidades de su relación (fuente: BOE, diciembre de 2018).
Dos puntos merecen más que el mínimo legal. El encargado debe avisarle de una brecha sin dilación indebida (fuente: EUR-Lex, abril de 2016): acuerde un plazo en horas para que a usted le quede tiempo de notificar. Y si un subencargado falla, el encargado inicial sigue siendo plenamente responsable ante usted (fuente: EUR-Lex, abril de 2016), así que acuerde quién asume los costos.
Brechas de datos: notificar, informar y registrar
Una brecha de datos personales es todo incidente de seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados (fuente: EUR-Lex, abril de 2016). Un correo enviado a quien no debía cuenta, y una computadora portátil robada también.
Notifique a la AEPD en un máximo de 72 horas desde que tenga constancia, salvo que sea improbable que la brecha entrañe un riesgo para las personas; si notifica tarde, explique los motivos, y puede aportar la información de forma gradual (fuente: EUR-Lex, abril de 2016). El plazo incluye fines de semana y festivos, así que una brecha descubierta el viernes por la tarde se notifica, como tarde, el lunes por la tarde (fuente: AEPD, junio de 2021).
La notificación se hace en el canal específico de la sede electrónica de la AEPD, con certificado electrónico o Cl@ve (fuente: AEPD, junio de 2021).
Si el riesgo para las personas es alto, avíselas también sin dilación indebida, salvo, por ejemplo, que los datos estuvieran cifrados (fuente: EUR-Lex, abril de 2016). Las herramientas Asesora Brecha y Comunica-Brecha RGPD de la AEPD ayudan a decidir ambas cosas sin guardar los datos que usted introduce (fuente: AEPD, octubre de 2023).
Registre todas las brechas, también las que no notifica, con hechos, efectos y medidas (fuente: EUR-Lex, abril de 2016); ese registro demuestra después por qué decidió no notificar. Ante un ataque a sus sistemas, vea qué hacer ante un ataque de ransomware.
En su mandato de negociación sobre el Ómnibus Digital, el Consejo de la UE propone suprimir la notificación a la autoridad de las brechas que probablemente no entrañen un alto riesgo (fuente: Consejo de la UE, octubre de 2026). Es una posición negociadora, no una norma: hasta que cambie la ley, notifique como se describe aquí.
Enviar datos personales fuera del EEE
Los datos personales solo pueden salir del EEEEEEEl Espacio Económico Europeo: los países de la UE más Islandia, Liechtenstein y Noruega. por una vía que prevé el RGPD (fuente: EUR-Lex, abril de 2016). Para la mayoría de las empresas, eso significa una decisión de adecuación o cláusulas contractuales tipo.
Una decisión de adecuación es la constatación de la Comisión Europea de que un país protege adecuadamente los datos personales; desde entonces pueden ir allí sin más garantías (fuente: Comisión Europea, noviembre de 2026). A noviembre de 2026, la lista incluye a Argentina, Uruguay y, desde enero de 2026, Brasil, entre otros; en Estados Unidos solo cubre a las empresas adheridas al Marco de Privacidad de Datos entre la UE y Estados Unidos (fuente: Comisión Europea, noviembre de 2026).
México, Colombia, Chile y Perú no figuran en ella (fuente: Comisión Europea, noviembre de 2026). Para enviar datos a un proveedor o una filial allí necesita una garantía adecuada, normalmente las cláusulas contractuales tipoCláusulas contractuales tipoModelos de cláusulas aprobados por la Comisión Europea que firman quien envía y quien recibe los datos para protegerlos fuera del EEE. adoptadas por la Comisión (fuente: EUR-Lex, abril de 2016). Anote cada transferencia y su base en el registro.
Protección de datos en América Latina: una comparación breve
Las leyes latinoamericanas usan piezas parecidas al RGPD, con otros plazos, autoridades y reglas para enviar datos al exterior. Seis ejemplos; compruebe las normas de cada país donde tenga personal o clientes.
| País | Ley y autoridad | Brechas | Envíos al exterior |
|---|---|---|---|
| México | Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el 21 de marzo de 2025; la aplica la Secretaría Anticorrupción y Buen Gobierno, que asumió estas funciones del INAI (fuente: Cámara de Diputados, noviembre de 2025) | Aviso inmediato al titular si la vulneración afecta de forma significativa a sus derechos patrimoniales o morales | Con consentimiento del titular, salvo excepciones legales, como un contrato en su interés |
| Colombia | Ley 1581 de 2012; Superintendencia de Industria y Comercio (SIC) (fuente: Senado de Colombia, octubre de 2012) | Reporte a la SIC en quince días hábiles desde la detección (fuente: SIC, abril de 2021) | Prohibidos hacia países sin protección adecuada, salvo excepciones como la autorización expresa del titular |
| Chile | Ley 21.719, que crea la Agencia de Protección de Datos Personales y entra en vigencia el 1 de diciembre de 2026; hasta entonces rige la Ley 19.628 (fuente: BCN, abril de 2025) | Reporte a la Agencia sin dilaciones indebidas si hay un riesgo razonable; aviso a los titulares si afecta, entre otros, a datos sensibles o financieros (fuente: Diario Oficial de Chile, diciembre de 2024) | Hacia países que la Agencia declare adecuados, o con cláusulas contractuales u otras garantías (fuente: Diario Oficial de Chile, diciembre de 2024) |
| Argentina | Ley 25.326 de 2000; Agencia de Acceso a la Información Pública (AAIP), que impulsa su actualización (fuente: InfoLEG, octubre de 2000; AAIP, junio de 2026) | La ley exige medidas de seguridad, pero no un deber general de notificar brechas | Prohibidos hacia países sin protección adecuada, con excepciones como los tratados internacionales |
| Perú | Ley 29733 y su nuevo reglamento, vigente desde el 31 de marzo de 2025; Autoridad Nacional de Protección de Datos Personales (fuente: El Peruano, marzo de 2025) | A la Autoridad en un máximo de 48 horas si hay grandes volúmenes, muchas personas, datos sensibles o un perjuicio evidente (fuente: Ministerio de Justicia del Perú, noviembre de 2024) | Hacia países con nivel adecuado o con garantías como las cláusulas contractuales modelo (fuente: Ministerio de Justicia del Perú, noviembre de 2024) |
| Brasil | Ley General de Protección de Datos (LGPD); Autoridad Nacional de Protección de Datos (ANPD) (fuente: ANPD, agosto de 2026) | A la ANPD y a los titulares en tres días hábiles si hay riesgo o daño relevante (fuente: ANPD, agosto de 2026) | Adecuación mutua con la UE desde enero de 2026 (fuente: Comisión Europea, noviembre de 2026) |
Cuando se aplican varias leyes, el plazo más corto marca el ritmo de su procedimiento de brechas. Los envíos cuentan también en sentido contrario: si una filial colombiana o argentina pasa datos a la matriz, se aplican las reglas de su país (fuente: Senado de Colombia, octubre de 2012; InfoLEG, octubre de 2000). Para las preguntas de los clientes sobre su manejo de datos, vea cuestionarios de seguridad; encontrará más guías en Tecnología y datos.
¿Está organizada su protección de datos?
Ocho afirmaciones de esta guía. Respóndalas pensando en su empresa y vea por dónde empezar.
- 1Sabemos cuáles de nuestros proveedores son encargados y cuáles son responsables por su cuenta.
- 2Tenemos un registro escrito de actividades que incluye nóminas, clientes y selección de personal.
- 3Una persona se encarga del registro y lo actualiza cuando llega un sistema o un proveedor nuevo.
- 4Cada encargado ha firmado un contrato con los puntos que exige el RGPD.
- 5El personal sabe a quién avisar el mismo día si pierde una computadora o envía un correo mal dirigido.
- 6Registramos todas las brechas, también las que decidimos no notificar.
- 7Sabemos qué proveedores guardan o reciben datos fuera del EEE, y con qué base.
- 8Conocemos las reglas de datos y de brechas de cada país donde tenemos personal o clientes.
Guías relacionadas
Ejemplo de registro, revisión del contrato de encargo y registro de brechas
A continuación encontrará un ejemplo de registro de actividades de una distribuidora con sesenta empleados, una lista de verificación para revisar contratos de encargo y un modelo de registro de brechas.
Preguntas frecuentes
¿Necesitamos un contrato de encargo con Microsoft, Google u otro proveedor en la nube?
¿Un correo enviado a la persona equivocada es una brecha?
¿Cuánto tiempo podemos conservar los datos personales?
¿Necesitamos un delegado de protección de datos?
- EUR-Lex: Reglamento General de Protección de Datos (abril de 2016)
- BOE: Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (diciembre de 2018)
- AEPD: Guía para la notificación de brechas de datos personales (junio de 2021)
- Comisión Europea: Decisiones de adecuación (noviembre de 2026)
- Cámara de Diputados de México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (noviembre de 2025)
- BCN: Descripción y síntesis de la ley de protección de datos personales de Chile (abril de 2025)