Moitas pemes españolas traballan cun informático externo ou cunha empresa de mantemento IT que se encarga do soporte técnico, a configuración de equipos, os backups, o correo, os servidores e, cada vez máis, tamén do entorno cloud. Esa figura é operativamente imprescindible. E, con todo, é un dos puntos onde máis pemes incumpren o RGPD sen sabelo: o informático ten acceso a sistemas con datos persoais e a maioría non asina coa pyme o contrato que o art. 28 RGPD esixe.
Esta guía explica como regular esa relación baixo o RGPD (Regulamento UE 2016/679) e a LOPDGDD (Lei Orgánica española 3/2018): cando o informático é encargado, que documento concreto hai que asinar, que contido mínimo debe ter, como xestionar os accesos remotos e as copias de seguridade, e como pechar correctamente o cambio cando se pasa a outro provedor IT.
Cando o informático é encargado do tratamento
O art. 28 RGPD define o encargado do tratamento como aquela persoa física ou xurídica que trata datos persoais por conta do responsable. A nota característica é que o encargado non decide finalidades nin medios propios: executa o que o responsable lle indica.
Aplicado á realidade da pyme, case calquera informático externo encaixa nesa definición. Estas son as situacións típicas nas que é claramente encargado:
- Mantemento recorrente dos equipos da pyme, con acceso remoto ou presencial a estacións de traballo e servidores.
- Administración do correo corporativo, incluída a creación, modificación e baixa de contas.
- Xestión de copias de seguridade: realización, custodia, proba e restauración de backups que conteñen datos persoais.
- Configuración e soporte do ERP, CRM, software de RRHH ou outros sistemas que tratan datos.
- Administración da infraestrutura cloud (Microsoft 365, Google Workspace, AWS, Azure, GCP) contratada pola pyme.
- Soporte por incidencias con acceso a equipos individuais onde pode haber datos.
- Migración de sistemas dun servidor antigo a un novo, dun provedor cloud a outro, ou dun software a outro.
En todos estes casos fai falta o contrato do art. 28 RGPD. As únicas situacións que claramente quedan fóra son as intervencións moi puntuais sen acceso a datos persoais (por exemplo, instalación dun equipo novo sen migración de datos previa, substitución dun router sen acceso á rede interna). Na práctica, esas excepcións son raras.
Que documento hai que asinar exactamente
O art. 28.3 RGPD permite que a regulación se faga mediante contrato ou outro acto xurídico vinculante con suxeición ao Dereito da Unión ou dos Estados membros. As tres formas máis habituais son:
- Contrato de servizos IT con anexo de protección de datos: o contrato comercial regula horas, tarifas e SLA; o anexo regula o rol de encargado. É a forma máis común e limpa.
- Contrato específico de encargo do tratamento, asinado en paralelo ao contrato de servizos. Útil cando o contrato comercial non se quere modificar.
- Contrato unificado que integra desde o inicio servizos IT e réxime do art. 28 RGPD. Máis limpo xuridicamente pero menos habitual.
O que non é suficiente:
- O contrato de servizos mercantil estándar sen mención ao RGPD nin ao art. 28: non cobre o contido mínimo esixido.
- Un correo electrónico xenérico do informático afirmando que cumpre o RGPD: non é un acto xurídico vinculante co contido do art. 28.3.
- Unha cláusula breve no orzamento inicial que di "cumprirase a normativa de protección de datos": baleira de contido.
Contido mínimo do contrato
O art. 28.3 RGPD fixa o contido mínimo obrigatorio. Adaptado ao informático IT dunha pyme:
| Cláusula | Que debe dicir aplicado ao informático IT |
|---|---|
| Obxecto e duración | Servizos de mantemento, administración de sistemas, soporte e outros descritos no contrato comercial, durante a vixencia da relación. |
| Natureza e finalidade | Manter operativos os sistemas da pyme para que esta poida desenvolver a súa actividade. Sen que o informático poida usar os datos para finalidades propias. |
| Tipos de datos e categorías de interesados | Identificativos, contacto, laborais, comerciais, financeiros, de empregados, clientes, provedores e, no seu caso, categorías especiais que poida conter calquera sistema. |
| Obrigas xerais | Tratar os datos seguindo instrucións documentadas do responsable, non usalos para finalidades propias, manter confidencialidade mesmo despois da finalización do contrato. |
| Persoal do informático | Compromiso de confidencialidade por escrito de calquera técnico con acceso, control de altas e baixas de persoal do provedor, rexistro de quen accede a que. |
| Medidas de seguridade | Conexión remota cifrada (VPN ou equivalente), uso de contas individuais con contrasinais fortes e dobre factor, rexistro de acceso, cifrado de copias, xestión de vulnerabilidades. |
| Subencargados | Lista dos subencargados que utiliza (outro técnico colaborador, plataforma de monitorización remota, provedor cloud) e obriga de notificar cambios. |
| Asistencia para dereitos | O informático asiste á pyme cando chega un dereito de acceso, supresión, rectificación, oposición ou portabilidade e iso require intervención técnica. |
| Notificación de fendas | Obriga de comunicar á pyme sen dilación indebida (idealmente en menos de 24-48 horas) calquera fenda ou incidente de seguridade detectado. |
| Devolución ao finalizar | Devolución de chaves, copias e configuracións á pyme ou ao provedor entrante; supresión segura dos datos que o informático conservaba para a súa operativa. |
Accesos remotos: o que de verdade importa no día a día
O informático IT traballa tipicamente por acceso remoto aos sistemas da pyme. Esa intervención presenta tres puntos críticos que o contrato debe regular e a práctica debe respectar:
- Canle cifrada: o acceso remoto realízase por VPN corporativa ou por solución equivalente que cifre a sesión completa. Non por escritorio remoto exposto a internet sen autenticación reforzada.
- Contas individuais: cada técnico do provedor IT que accede aos sistemas usa a súa propia conta nominal, non unha conta compartida do provedor. As altas e baixas do persoal do provedor notifícanse á pyme para que poida actualizar permisos.
- Rexistro de acceso: os sistemas conservan log de quen, cando, desde onde e a que accedeu, durante un prazo razoable. Permite auditar a actividade en caso de incidente.
Copias de seguridade: o punto onde máis facilmente se perde o control
As copias de seguridade son un dos lugares máis sensibles do réxime do art. 28 RGPD. As preguntas que o contrato debe responder:
- Onde se almacenan: servidor do informático, servidor da pyme, provedor cloud externo. Se está fóra do EEE, activa o Cap. V RGPD.
- Quen accede: só persoal autorizado do provedor, con conta individual e rexistro.
- Como se cifran: en tránsito e en repouso. A chave de cifrado, idealmente, en custodia da pyme.
- Canto tempo se conservan: política clara de rotación (diaria, semanal, mensual), con destrución segura de copias antigas.
- Como se proba a restauración: polo menos unha proba completa ao ano, documentada. Unha copia que non se restaurou nunca é unha copia que non existe.
- Que pasa ao finalizar a relación: as copias baixo xestión do provedor devólvense á pyme ou ao novo provedor entrante, non se destrúen sen máis.
"O informático externo da pyme é un dos actores con máis acceso a datos e, paradoxalmente, un cos que máis pemes operan sen contrato do art. 28 asinado. É exactamente o patrón que a AEPD sanciona cando chega unha fenda: responsable que non elixiu encargado con garantías e non documentou a relación. Cinco páxinas asinadas resolven o problema."
Mario P. Talamillo · Socio director, Certix®
Fendas e notificación: o procedemento que moitas pemes non ensaiaron
O art. 33 RGPD obriga ao responsable a notificar á AEPD (Axencia Española de Protección de Datos) calquera fenda de seguridade que poida xerar risco para os dereitos e liberdades dos afectados, nun prazo non superior a 72 horas desde que se ten coñecemento. Para que a pyme poida cumprir ese prazo, o informático debe avisala moi rápido. O contrato debe fixalo expresamente:
- Prazo concreto para que o informático comunique calquera incidente á pyme (tipicamente 24 a 48 horas como máximo).
- Información mínima da primeira comunicación: natureza do incidente, sistemas afectados, datos potencialmente comprometidos, medidas inmediatas adoptadas.
- Colaboración técnica para preparar a notificación á AEPD se procede e, no seu caso, a comunicación aos afectados.
- Documentación posterior: análise de causa raíz, medidas para evitar reprodución.
Cambio de provedor IT: a fase máis crítica
O cambio de informático externo é o momento onde máis cumprimento se perde se non se xestiona ordenadamente. Procedemento razoable:
- Inventario completo do que o informático saínte xestionaba: servidores, equipos, dominios, certificados, contas administrativas, copias de seguridade, contratos cloud, software con licenza.
- Entrega de chaves ao responsable (a pyme) ou ao provedor entrante: contrasinais administrativos, chaves de cifrado, configuracións específicas, scripts personalizados, documentación técnica.
- Devolución ou transferencia de copias de seguridade: o saínte non se pode limitar a destruílas; debe entregalas ou garantir o acceso ao entrante.
- Supresión confirmada dos datos que o saínte conservaba para a súa propia operativa, con constancia escrita.
- Cambio de credenciais de todos os sistemas: contrasinais administrativos, contas de servizo, accesos de terceiros que o saínte coñecía.
- Sinatura do contrato do art. 28 RGPD co provedor entrante antes de empezar a operar.
- Actualización do RAT da pyme: novo encargado, novas medidas, eventual novo subencargado cloud.
Checklist mínimo do informático IT externo
- Contrato do art. 28 RGPD (ou anexo) asinado e arquivado co informático actual.
- Lista de subencargados do provedor IT, actualizada e monitorizada.
- Análise de transferencias internacionais se o informático ou os seus subencargados operan fóra do EEE.
- Política de accesos remotos: VPN ou canle cifrada, contas individuais, log de actividade.
- Política de copias de seguridade: localización, cifrado, prazos, proba de restauración anual.
- Prazo expreso de notificación de fendas (24-48 horas) e procedemento de colaboración.
- Procedemento de cambio de provedor IT con entrega de chaves, copias e supresión documentada.
- Cambio rutineiro de credenciais tras a saída de calquera técnico con acceso administrativo.
Preguntas frecuentes
É o informático externo da miña pyme un encargado do tratamento baixo o RGPD?
Si, case sempre. O informático que accede a equipos, servidores, correo ou copias de seguridade da pyme trata datos persoais por conta do responsable e é encargado do tratamento (art. 28 RGPD). A relación debe regularse por contrato escrito co contido do art. 28.3. Non importa se o servizo é por horas, mensual ou por incidencias: calquera acceso técnico recorrente activa a obriga contractual.
Que debe asinar a miña pyme co informático: un anexo, un contrato á parte ou inclúese no contrato de servizos?
As tres formas son válidas sempre que o documento final conteña as cláusulas obrigatorias do art. 28.3 RGPD. O máis común é asinar un anexo de protección de datos vinculado ao contrato de servizos IT. O contrato mercantil estándar por si só non cobre o contido específico que o RGPD esixe (subencargados, asistencia, fendas, devolución).
Pode o informático externo levar á súa casa copias dos datos para traballar?
Só se o contrato o autoriza, as medidas de seguridade o permiten e o dato copiado é o mínimo imprescindible. O razoable é traballar sobre os sistemas da pyme por conexión cifrada sen extraer datos. Cando a extracción é inevitable, debe documentarse, limitarse ao dato necesario, conservarse cifrada e destruírse de forma segura tras a tarefa.
E se o informático cesa a relación coa miña pyme ou cambio a outro provedor IT?
O art. 28.3.g RGPD obriga ao encargado a devolver ao responsable os datos antes de destruílos. Entrega de chaves, devolución ou transferencia de copias de seguridade, supresión confirmada de copias residuais e cambio de credenciais de todos os sistemas. Toda a transición debe estar documentada. Cambiar de provedor sen esta entrega ordenada é unha fonte habitual de discusións posteriores.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.
Tes asinado o art. 28 RGPD co teu informático externo?
En Certix asignámosche un experto en cumprimento para pemes. Sen intermediarios comerciais, sen modelos xenéricos.
Falar cun experto