Zure enpresak nominetarako gestoretxe bat kontratatzen duen bakoitzean, bere bezero-zorroa hodeiko CRM batera igotzen duenean edo agentzia bati bere marketin-datu-basea kudeatzen uzten dionean, datu pertsonalak hirugarren baten esku jartzen ari zara. Hirugarren horrek izen konkretua du RGPDan: tratamenduaren enkargatzailea. Eta harekin mantentzen duzun harremana ez da merkataritza-akordio soil batekin sostengatzen, baizik eta arauak berak eskatzen duen kontratu espezifiko batekin.
Tratamenduaren enkargatzailearen kontzeptua, arduradunarenarekin batera, Erregelamenduaren zutabeetako bat da. Baita nahasmendurik ohikoenetako bat ere: enpresa askok ez dakite haiek arduradun ala enkargatzaile diren, ezta datuak partekatzen dituzten hornitzaile bakoitzak zer paper betetzen duen ere. Gida honek argitzen du zer den zehazki tratamenduaren enkargatzailea, zertan bereizten den arduradunetik, zer betebehar hartzen dituen eta noiz behar duzun enkarguaren kontratu bat sinatu.
Laburbilduz
- Tratamenduaren enkargatzaileak (RGPDren 4.8 art.) datu pertsonalak arduradunaren kontura tratatzen ditu, bere jarraibideak jarraituz eta zertarako erabiltzen diren erabaki gabe.
- Arduradunak (RGPDren 4.7 art.) helburuak eta bitartekoak zehazten ditu; enkargatzaileak betearazi soilik. Hori da funtsezko aldea.
- RGPDren 28. art.ak harremana idatzizko enkarguaren kontratu baten bidez arautzera behartzen du, gutxieneko eduki konkretu batekin (RGPDren 28.3 art.).
- Ohiko enkargatzaileak dira: zure gestoretxea, zure hodeiko softwarea, zure marketin-agentzia, zure informatika-enpresa, zure email marketineko plataforma edo zure hostinga.
Tratamenduaren enkargatzailearen definizioa RGPDaren arabera
RGPDren 4.8 art.ak tratamenduaren enkargatzailea honela definitzen du: tratamenduaren arduradunaren kontura datu pertsonalak tratatzen dituen pertsona fisiko edo juridiko, aginte publiko, zerbitzu edo bestelako organismoa. Ideia nagusia lau hitz horietan dago: arduradunaren kontura.
Enkargatzailea ez da datuen gaineko erabakiaren jabea. Arduradunaren jarraibideak jasotzen ditu eta betearazi egiten ditu. Gestoretxe batek zure plantillaren nominak prozesatzen dituenean, ez du berak erabakitzen zer egiten den datu horiekin: zuk, enpresa gisa, zeuk finkatu duzun helburu baterako externalizatzea erabaki duzun informazioa tratatzen du. Gestoretxeak bitartekoa jartzen du (bere softwarea, bere langileria, bere jakintza), baina helburua —zure langileen nominak ordaintzea— zuk zehazten duzu.
Harremanaren beste muturrean tratamenduaren arduraduna dago, RGPDren 4.7 art.ean tratamenduaren helburuak eta bitartekoak zehazten dituena gisa definitua. Arduraduna da grabitate-zentroa: erabakiak hartzen ditu, interesdunen aurrean erantzuten du eta harekin lan egiten duten enkargatzaileak aukeratzen ditu. Enkargatzailea erabaki horien inguruan orbitatzen da.
Tratamenduaren arduradunaren eta enkargatzailearen arteko aldea
Bi figurak bereiztea datuen babeseko lehen nahasmendua da, eta ebazteko araua esaldi batean sartzen da: arduradunak erabakitzen du, enkargatzaileak betearazten du. Datuak zertarako eta nola tratatzen diren zehazten duena arduraduna da; jarraibide horiek jarraituz, besteren kontura, tratatzen dituena, enkargatzailea.
Enpresa berak harreman batean arduradun eta beste batean enkargatzaile izan daiteke. Zure gestoretxea zure kontura prozesatzen dituen nominei dagokienez enkargatzailea da, baina bere langileen datuei edo bere fakturazioari dagokienez arduraduna da. Papera definitzen duena ez da enpresaren tamaina, baizik eta tratamendu konkretu bakoitzean nork erabakitzen duen.
| Alderdia | Arduraduna (RGPDren 4.7 art.) | Enkargatzailea (RGPDren 4.8 art.) |
|---|---|---|
| Nor den | Tratamenduaren helburuak eta bitartekoak zehazten ditu. | Datuak arduradunaren kontura tratatzen ditu. |
| Erabakia | Datuak zertarako eta nola erabiltzen diren erabakitzen du. | Jasotako jarraibideak betearazten ditu; ez du helburu propiorik finkatzen. |
| Interesdunarekiko harremana | Datuen titularraren aurrean solaskide nagusia da. | Arduradunari laguntzen dio interesdunaren eskubideak artatzen. |
| Lotzen dituen tresna | Enkargatzailea aukeratzen du eta jarraibideak ematen dizkio. | RGPDren 28. art.eko enkarguaren kontratua. |
| Adibidea | Bere nominak externalizatzen dituen enpresa. | Nomina horiek prozesatzen dituen gestoretxea. |
Tratamenduaren enkargatzailearen betebeharrak
RGPDren 28. art.ak arduradunaren eta enkargatzailearen arteko harremana xehetasunez arautzen du, eta hortik eratortzen dira besteren kontura datuak tratatzen dituenak hartzen dituen betebehar nagusiak. Ez dira karga formalak: interesduna babesten duten eta externalizatzen duen enpresari segurtasuna ematen dioten baldintzak dira. Garrantzitsuenak hauek dira:
- Datuak arduradunaren jarraibideen arabera soilik tratatzea. Enkargatzaileak ez du informazioa kontratatutako zerbitzuaz besteko helburu propioetarako erabiltzen.
- Langileriaren konfidentzialtasuna. Datuetara sartzen diren pertsonak konfidentzialtasun-betebehar baten mende egon behar dira.
- Tratamenduaren arriskuari egokitutako segurtasun-neurriak, RGPDren 32. art.arekin lerrokatuta.
- Baimenik gabe ez azpikontratatzea. Beste enkargatzaile batera (azpienkargatzailea) jotzeak arduradunaren aldez aurreko baimena eskatzen du (RGPDren 28.2 eta 28.4 art.).
- Arduradunari laguntzea interesdunaren eskubideak artatzen eta bere segurtasun- eta hauste-jakinarazpen betebeharretan.
- Datuak itzultzea edo ezabatzea zerbitzua amaitzean (RGPDren 28.3.g art.), beheragoko xehetasun propioa merezi duen puntua.
Noiz behar da tratamenduaren enkarguaren kontratu bat?
Hirugarren batek zure enpresaren kontura datu pertsonaletara sartzen edo tratatzen dituen bakoitzean. RGPDren 28.3 art.ak eskatzen du harreman hori kontratu edo beste egintza juridiko lotesle baten bidez idatziz arautzea. Ez da aukerakoa, ezta hornitzailearen tamainaren araberakoa ere: kanpoko norbaitek zure datuak kudeatzen dituenean, enkarguaren kontratua behar da.
Ohiko akatsa da pentsatzea ohiko merkataritza-akordio batek —aurrekontuak, fakturak edo zerbitzuaren baldintzek— jada harreman hori estaltzen duela. Ez du estaltzen. Enkarguaren kontratua arauak berariaz finkatzen duen gutxieneko edukia duen dokumentu espezifiko bat da, eta bere gabeziak hornitzailearekiko harremana RGPDaren aterkitik kanpo uzten du, nahiz eta zerbitzua normaltasunez funtzionatu.
Zer eduki behar duen enkarguaren kontratuak
RGPDren 28.3 art.ak ezartzen du enkarguaren kontratuak idatziz jaso behar duela eta gutxienez elementu konkretu multzo bat arautu behar duela. Ez da nahikoa aipamen generiko batekin: puntu horietako bakoitza enkargatzaileak ematen duen benetako zerbitzuarekin lotuta definitu behar da.
- Tratamenduaren xedea. Zer tratamendu-jarduera enkargatzen den zehazki.
- Tratamenduaren iraupena, normalean zerbitzuaren indarraldiari lotua.
- Tratamenduaren izaera eta helburua.
- Inplikatutako datu pertsonal mota.
- Eragindako interesdunen kategoriak (bezeroak, langileak, hornitzaileak, etab.).
- Harreman horren esparruan arduradunaren betebehar eta eskubideak.
28.3 art.eko elementuetako batean komeni da gelditzea, ohiko akats bat biltzen duelako: zer gertatzen den datuekin harremana amaitzen denean. RGPDren 28.3.g art.ak ezartzen du, zerbitzua amaitzean, enkargatzaileak datuak itzuli edo ezabatu behar dituela —arduradunaren aukeran— eta dauden kopiak ezabatu.
Lehentasunezko betebeharra da datuak itzultzea edo arduradunak esportatzea ahalbidetzea, honek bere legezko kontserbazio-epeak (zergakoak, lanekoak, merkataritzakoak) bete ditzan. Behin betiko ezabaketa gero iristen da, arduradunak informazioa eskura duenean. Horregatik ondo idatzitako enkarguaren kontratu batek ez du inoiz "datuak amaitzean suntsitu" soilik esaten: lehenik itzulketa edo esportazioa aurreikusten du eta ezabaketa arduradunak behar duena jada duen unerako gordetzen du.
"Ia inork ez du eztabaidatzen enkarguaren kontratua behar denik. Arazoa da benetako tratamendua deskribatzen ez duen eta amaieran datuekin zer gertatzen den ondo arautzen ez duen eredu generiko bat sinatzen dela. Informazioa gehiagorik gabe suntsitzeko agintzen duen 28. art.eko kontratu batek sinatzen duen bezeroa arriskuan jartzen du."
Mario P. Talamillo · Zuzendari bazkidea, Certix®
Enpresa batean enkargatzaileen ohiko adibideak
Tratamenduaren enkargatzailearen figura ia edozein enpresatan agertzen da, askotan bere arduradunek horrela identifikatu gabe. Hauek dira kasurik ohikoenak:
- Zure nominak eta zure plantillaren lan-dokumentazioa prozesatzen dituen gestoretxea edo aholkularitza.
- Informazioa gordetzen duzun hodeiko softwarea edo SaaSa: zure bezero-zorroa duen CRMa, zure hornitzaileak dituen ERPa.
- Zuk konfiatu diozun bezero-datu-basea kudeatzen duen marketin-agentzia.
- Zure zerbitzariak mantentzen dituen eta, horrela egitean, dituzten datuetara sartzen den informatika-enpresa.
- Zure harpidedun-zerrendari komunikazioak bidaltzen dizkiozun email marketineko plataforma.
- Zure weba eta bere bidez jasotzen dituzun datuak ostatatzen dituen hosting-hornitzailea.
Kasu horietan guztietan, zure enpresa arduraduna da eta hornitzailea enkargatzailea. Eta guztietan RGPDren 28. art.eko enkarguaren kontratu bat behar da harremana arautuko duena. Lan egiten duzun enkargatzaile guztiak identifikatzea, eta bakoitzak bere kontratua ondo idatzita duela egiaztatzea, edozein datuen babeseko aholkularitzaren oinarrizko lanetako bat da.
Ohiko galderak
Zer da tratamenduaren enkargatzailea RGPDaren arabera?
Tratamenduaren enkargatzailea arduradunaren kontura datu pertsonalak tratatzen dituen pertsona fisiko edo juridikoa da (RGPDren 4.8 art.). Ez du erabakitzen zertarako erabiltzen diren datuak: arduradunak esaten diona betearazten du. Arduraduna (RGPDren 4.7 art.) da helburuak eta bitartekoak zehazten dituena. Enkargatzailearen adibide tipikoak: zure nominak prozesatzen dituen gestoretxea, zure bezero-zorroa gordetzen duzun hodeiko softwarea edo zure datu-basea kudeatzen duen marketin-agentzia.
Zer alde dago tratamenduaren arduradunaren eta enkargatzailearen artean?
Arduradunak erabakitzen du; enkargatzaileak betearazten du. Arduradunak (RGPDren 4.7 art.) tratamenduaren helburuak eta bitartekoak zehazten ditu: datuak zertarako eta nola erabiltzen diren erabakiaren jabea da. Enkargatzaileak (RGPDren 4.8 art.) datu horiek arduradunaren kontura tratatzen ditu, bere jarraibideak jarraituz eta helburu propioetarako erabili gabe. Enpresa berak tratamendu batzuen arduradun eta beste batzuen enkargatzaile izan daiteke, harreman bakoitzean betetzen duen paperaren arabera.
Noiz da derrigorrezkoa tratamenduaren enkarguaren kontratua sinatzea?
Hirugarren batek zure enpresaren kontura datu pertsonaletara sartzen edo tratatzen dituen bakoitzean. RGPDren 28.3 art.ak eskatzen du harreman hori idatzizko kontratu edo beste egintza juridiko lotesle baten bidez arautzea. Zure gestoretxeari, zure hodeiko software-hornitzaileari, zure zerbitzariak mantentzen dituen informatika-enpresari, zure email marketineko plataformari edo zure hostingari aplikatzen zaie. Kontratu hori gabe, hornitzailearekiko harremana ez dago RGPDaren estalpean.
Zer gertatzen da datuekin enkargatzailearekiko kontratua amaitzen denean?
Zerbitzua amaitzean, enkargatzaileak datuak itzuli edo ezabatu behar ditu arduradunaren aukeran eta dauden kopiak ezabatu (RGPDren 28.3.g art.). Lehentasunezko betebeharra da enkargatzaileak datuak itzultzea edo arduradunari esportatzea ahalbidetzea, honek bere legezko kontserbazio-epeak bete ditzan. Behin betiko ezabaketa arduradunak informazioa eskura duenean baino ez da iristen, inoiz ez zerbitzuaren bajaren erantzun automatiko gisa.
Ondorioa
Tratamenduaren enkargatzailea ez da RGPDaren teknizismo bat: zure enpresak datuak partekatzen dituen ia hornitzaile guztiak deskribatzen dituen figura da. Arduradunetik bereizten jakiteak —arduradunak erabakitzen du, enkargatzaileak betearazten du— zure posizioa harreman bakoitzean zuzen identifikatzeko aukera ematen dizu eta, batez ere, zer enkarguaren kontratu sinatu eta berrikusi behar dituzun antzemateko.
Puntu kritikoa kontratu horien kalitatean dago. Benetako tratamendua deskribatzen ez duen edo aurretik itzulketa aurreikusi gabe datuak "suntsitzeko" agintzen duen enkarguaren kontratu generiko batek sinatzen duena babesik gabe uzten du. Certix-en hornitzaile bakoitzaren enkarguaren kontratuak idazten eta berrikusten ditugu benetako zerbitzua isla dezaten eta RGPDren 28. art.eko edukia bete dezaten. Gure RGPDaren gida osoa kontsulta dezakezu figura hau arauaren multzoan kokatzeko.
Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.
Zure hornitzaileen enkarguaren kontratuak ordenan dituzu?
Certix-en zure tratamenduaren enkargatzaileak identifikatzen ditugu eta RGPDren 28. art.eko kontratu bakoitza idazten dugu. Aditu batek zuzenean artatzen zaitu, bitartekari komertzialik gabe.
Aditu batekin hitz egin