Cada vez que unha empresa recolle, garda, consulta ou envía datos persoais está a facer algo que o RGPD regula con precisión: un tratamento de datos persoais. O concepto é máis amplo do que parece e engloba operacións que moitas organizacións nin sequera perciben como "tratar datos". Pero onde adoitan aparecer as dúbidas de verdade é no momento en que eses datos saen da organización: cando se comparten con outra empresa, cando os procesa un provedor externo ou cando viaxan a servidores fóra de Europa.
Estes tres movementos —comunicar datos a un terceiro, encargar o seu tratamento a un provedor e transferilos internacionalmente— responden a regras xurídicas distintas e confúndense con frecuencia. Esta guía aclara que é exactamente o tratamento segundo o art. 4.2 RGPD, en que se diferencia unha cesión dun encargo do tratamento, e que mecanismos lexitiman unha transferencia internacional fóra do Espazo Económico Europeo.
En resumo
- O tratamento (art. 4.2 RGPD) é calquera operación sobre datos persoais: recoller, gardar, consultar, modificar, comunicar, suprimir…
- A cesión é unha comunicación de datos a un terceiro que actúa como responsable por dereito propio, coas súas propias finalidades.
- O encargado do tratamento (art. 28 RGPD) trata datos por conta do responsable, seguindo as súas instrucións e sen finalidades propias. Non é unha cesión.
- As transferencias internacionais fóra do EEE só son lícitas cun mecanismo dos arts. 44–49: adecuación (art. 45), garantías adecuadas / CCT (art. 46) ou excepcións (art. 49).
- Para provedores SaaS de EE.UU., a base habitual é a adhesión do provedor ao Data Privacy Framework (DPF), non só as cláusulas contractuais tipo.
Que é o tratamento de datos persoais (art. 4.2 RGPD)
O art. 4.2 RGPD define o tratamento como "calquera operación ou conxunto de operacións realizadas sobre datos persoais ou conxuntos de datos persoais, xa sexa por procedementos automatizados ou non". A definición é deliberadamente ampla: o lexislador europeo quería que ningunha manipulación de datos quedase fóra do alcance da norma.
O propio artigo enumera, a título de exemplo, operacións moi variadas: a recollida, o rexistro, a organización, a estruturación, a conservación, a adaptación ou modificación, a extracción, a consulta, a utilización, a comunicación por transmisión, a difusión ou calquera outra forma de habilitación de acceso, o cotexo ou a interconexión, a limitación, a supresión e a destrución.
De aquí extráense dúas ideas prácticas que convén interiorizar:
- Gardar datos xa é tratalos. Non fai falta "usar" activamente a información: a mera conservación dunha base de datos de clientes nun servidor constitúe tratamento e activa todas as obrigas do RGPD.
- O papel importa pouco. O tratamento existe tanto se os datos están nun sistema informático como nun arquivo en papel estruturado. A automatización non é un requisito para que a norma aplique.
Todo tratamento necesita apoiarse nunha das bases de lexitimación do art. 6 RGPD (consentimento, execución dun contrato, obriga legal, interese lexítimo, etc.). E, aínda que o tratamento non requira consentimento por basearse nun contrato ou nunha obriga legal, nunca se exime a organización do seu deber de información (art. 13 RGPD): hai que entregar ou facer accesible a cláusula de privacidade no primeiro contacto. A transparencia é innegociable, con independencia da base que lexitime o tratamento.
Cesión de datos fronte a encargo do tratamento: a distinción clave
Cando os datos saen da organización cara a outra entidade, a primeira pregunta que hai que responder é sempre a mesma: quen decide para que se van usar eses datos? A resposta separa dúas figuras que se confunden constantemente pero que teñen consecuencias xurídicas opostas.
A cesión ou comunicación de datos a un terceiro
Hai cesión (ou comunicación de datos) cando unha organización revela datos persoais a un terceiro que pasa a tratalos como responsable por dereito propio. O receptor non segue instrucións do cedente: incorpora os datos aos seus propios ficheiros e úsaos para as súas propias finalidades, baixo a súa propia responsabilidade.
Exemplos habituais de cesión son a comunicación de datos á Administración Tributaria en cumprimento dunha obriga fiscal, o envío de datos dun traballador á Seguridade Social, ou a comunicación de datos dun cliente a unha entidade financeira que decide de forma autónoma que fai con eles. Nunha cesión, cada parte responde do seu propio tratamento e ambas deben contar cunha base de lexitimación propia.
Pola súa propia natureza, a cesión de datos a terceiros está suxeita a unha análise esixente: esixe identificar a base xurídica que a ampara, informar dela ao interesado e valorar se a comunicación é realmente necesaria e proporcionada. Non é unha operación que poida darse por descontada.
O encargado do tratamento (art. 28 RGPD)
O encargado do tratamento, en cambio, trata os datos por conta do responsable e seguindo as súas instrucións, sen decidir para que se usan. Aquí non hai cesión: os datos non cambian de "dono da decisión", simplemente os procesa un provedor externo en nome da empresa. A xestoría que elabora as túas nóminas, o CRM na nube onde gardas a túa carteira de clientes ou a empresa de informática que mantén os teus servidores son encargados, non cesionarios.
O art. 28 RGPD esixe que esta relación se regule mediante un contrato de encargo por escrito cun contido mínimo tasado (art. 28.3): obxecto e duración, natureza e finalidade do tratamento, tipos de datos, obrigas de confidencialidade, medidas de seguridade, réxime de subencargados, e o destino dos datos ao finalizar o servizo, entre outros.
Ese último punto merece unha precisión importante. Ao terminar o contrato, a obriga prioritaria do encargado non é "destruír" sen máis os datos: é devolvelos ou permitir a súa exportación íntegra ao responsable —nun formato estruturado e de uso común— para que este poida cumprir os seus propios prazos legais de conservación. A supresión definitiva chega só despois, unha vez o responsable dispón da información. Confundir isto e aceptar un borrado automático á baixa do servizo pode deixar a empresa sen datos que a lei lle obriga a conservar.
Para afondar nesta figura, o seu réxime de obrigas e o contido do contrato de encargo, podes consultar a nosa guía sobre o encargado do tratamento segundo o RGPD.
| Criterio | Cesión / comunicación a terceiro | Encargo do tratamento (art. 28) |
|---|---|---|
| Rol do receptor | Responsable por dereito propio | Encargado: actúa por conta do responsable |
| Quen decide as finalidades | O receptor, de forma autónoma | O responsable; o encargado só executa |
| Instrumento xurídico | Base de lexitimación propia + deber de información | Contrato de encargo por escrito (art. 28.3) |
| Exemplos | Administración Tributaria, Seguridade Social, entidade bancaria | Xestoría, CRM na nube, hosting, informática externa |
| Uso propio dos datos | Si, cos seus propios fins | Non; prohibido usalos para finalidades propias |
"A pregunta non é con quen compartes os datos, senón quen manda sobre eles unha vez saen da túa empresa. Se o provedor obedece as túas instrucións, é un encargado e necesitas un contrato do artigo 28. Se decide pola súa conta, é unha cesión e a análise cambia por completo. Quen non distingue esas dúas figuras asina os papeis equivocados."
Mario P. Talamillo · Socio director, Certix®
Transferencias internacionais: cando os datos saen do EEE
Hai transferencia internacional cando os datos persoais se poñen a disposición dun destinatario situado nun terceiro país fóra do Espazo Económico Europeo (EEE) —os Estados da UE máis Islandia, Liechtenstein e Noruega— ou dunha organización internacional. Isto ocorre con moita máis frecuencia da que se percibe: contratar un software con servidores en Estados Unidos, usar unha ferramenta de email marketing estranxeira ou aloxar datos na nube dun hiperescalador global son, todos eles, transferencias internacionais.
O Capítulo V do RGPD (arts. 44 a 49) parte dun principio: os datos poden saír do EEE, pero o nivel de protección non pode degradarse. Para garantilo, toda transferencia debe apoiarse nalgún dos mecanismos que a norma prevé. Sen un deles, a transferencia non está permitida.
Mecanismos válidos de transferencia internacional
O RGPD ordena estes mecanismos nunha xerarquía práctica que vai do máis sólido ao máis excepcional:
| Mecanismo | En que consiste | Cando se usa |
|---|---|---|
| Decisión de adecuación (art. 45) | A Comisión Europea recoñeceu que o país destinatario ofrece un nivel de protección adecuado. A transferencia non necesita garantías adicionais. | Países con adecuación recoñecida (p. ex. Reino Unido, Suíza, Xapón, Canadá para o sector privado) |
| Garantías adecuadas — CCT (art. 46) | A falta de adecuación, a transferencia ampárase en garantías adecuadas. As máis habituais son as cláusulas contractuais tipo (CCT) aprobadas pola Comisión. | Provedores en terceiros países sen decisión de adecuación |
| Normas corporativas vinculantes — BCR (art. 47) | Políticas internas de protección de datos aprobadas pola autoridade de control, para transferencias dentro dun mesmo grupo multinacional. | Grupos empresariais con filiais fóra do EEE |
| Data Privacy Framework — DPF (art. 45) | Decisión de adecuación específica para EE.UU. Cobre as transferencias a provedores estadounidenses que se adheriron formalmente ao marco. | Provedores SaaS e cloud de EE.UU. adheridos ao DPF |
| Excepcións (art. 49) | En ausencia dos mecanismos anteriores, só para situacións concretas: consentimento explícito e informado, execución dun contrato co interesado, interese público importante… | Uso puntual e excepcional, nunca para transferencias masivas ou habituais |
O caso de EE.UU.: o Data Privacy Framework (DPF)
Estados Unidos concentra boa parte das ferramentas SaaS, plataformas cloud e servizos dixitais que utilizan as empresas europeas a diario. Por iso merece unha regra propia. A vía principal para lexitimar unha transferencia a un provedor estadounidense é a súa adhesión ao Data Privacy Framework (DPF), a decisión de adecuación específica que a Comisión Europea adoptou para EE.UU.
Isto ten unha consecuencia moi práctica: se o provedor figura adherido ao DPF, a transferencia queda cuberta directamente por unha decisión de adecuación e non é imprescindible asinar cláusulas contractuais tipo adicionais para ese fluxo. Por iso a análise correcta dun SaaS estadounidense empeza sempre por comprobar a súa adhesión ao DPF, e non por asumir que abonda coas CCT.
A verificación é sinxela: a lista de entidades adheridas é pública e consúltase no rexistro oficial do marco. Se o provedor non está adherido, a transferencia deberá ampararse noutro mecanismo do art. 46 —tipicamente as cláusulas contractuais tipo, acompañadas no seu caso das medidas suplementarias que resulten necesarias tras avaliar o fluxo—.
Este é un dos erros de análise máis frecuentes: contratar unha ferramenta estadounidense e asinar CCT "por defecto" sen comprobar antes se o provedor está no DPF, ou ao revés, asumir que calquera provedor de EE.UU. está cuberto sen verificalo. Cada fluxo internacional esixe revisar o mecanismo concreto que o ampara.
Checklist para tratar, ceder e transferir datos con orde
Este resumo operativo recolle os puntos que toda organización debería revisar antes de compartir ou mover datos persoais:
| ✓ | Elemento | Referencia |
|---|---|---|
| □ | Cada tratamento apóiase nunha base de lexitimación identificada | Art. 6 RGPD |
| □ | Cláusula de privacidade entregada no primeiro contacto | Art. 13 RGPD |
| □ | Distinción documentada entre cesionarios (responsables) e encargados | Arts. 4.7, 4.8 e 28 RGPD |
| □ | Contrato de encargo asinado con cada provedor que trata datos por túa conta | Art. 28.3 RGPD |
| □ | Base xurídica propia e análise de necesidade para cada cesión a terceiros | Art. 6 RGPD |
| □ | Inventario de fluxos internacionais: que datos saen do EEE e cara a onde | Arts. 44–49 RGPD |
| □ | Mecanismo de transferencia verificado (adecuación, CCT, BCR ou DPF) | Arts. 45–47 RGPD |
| □ | Adhesión ao DPF comprobada para cada provedor SaaS de EE.UU. | Art. 45 RGPD (DPF) |
| □ | Devolución ou exportación de datos garantida antes de calquera borrado do encargado | Art. 28.3.g RGPD |
Estes tres planos —tratamento, cesión e transferencia internacional— forman parte do marco xeral do Regulamento. Se queres unha visión de conxunto de toda a norma, os seus principios, dereitos e obrigas, podes consultar a nosa guía completa do RGPD.
Preguntas frecuentes
Que se considera tratamento de datos persoais segundo o RGPD?
O art. 4.2 RGPD define o tratamento como calquera operación realizada sobre datos persoais, estea ou non automatizada. Inclúe a recollida, o rexistro, a conservación, a consulta, a modificación, a utilización, a comunicación por transmisión, a difusión, a interconexión, a limitación, a supresión e a destrución. Practicamente calquera cousa que unha organización faga cun dato persoal —mesmo gardalo sen usalo— é un tratamento suxeito ao RGPD.
Que diferenza hai entre unha cesión de datos e un encargado do tratamento?
Na cesión (comunicación de datos a un terceiro) o receptor pasa a ser responsable do tratamento por dereito propio: usa os datos para as súas propias finalidades. No encargo do tratamento (art. 28 RGPD), o provedor trata os datos por conta do responsable, seguindo as súas instrucións e sen finalidades propias. A túa xestoría ou o teu CRM na nube son encargados; unha entidade á que comunicas datos para que os use para os seus propios fins é un cesionario.
Cando é lícita unha transferencia internacional de datos fóra do EEE?
Só se se apoia nalgún dos mecanismos dos arts. 44 a 49 RGPD: unha decisión de adecuación da Comisión Europea (art. 45), garantías adecuadas como as cláusulas contractuais tipo ou as normas corporativas vinculantes (art. 46), ou, de forma excepcional e puntual, algunha das excepcións do art. 49. Sen un destes mecanismos, a transferencia a un terceiro país non está permitida.
Podo usar un provedor SaaS estadounidense con datos de clientes europeos?
Si, sempre que a transferencia estea cuberta por un mecanismo válido. Para provedores de EE.UU. a vía principal é a adhesión do provedor ao Data Privacy Framework (DPF), a decisión de adecuación específica para Estados Unidos. Antes de contratar a ferramenta convén verificar que o provedor figura adherido ao DPF; se non o está, haberá que recorrer ás cláusulas contractuais tipo do art. 46 ou outro mecanismo de garantía.
Mapear os teus fluxos de datos, distinguir encargados de cesións e verificar cada transferencia internacional esixe unha análise individualizada da túa organización. En Certix atéendete directamente un experto en protección de datos.
Consultoría de protección de datos →Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. Para unha avaliación da situación da túa organización, contacta cun especialista en protección de datos.