Una agencia de marketing es, por la propia naturaleza de su trabajo, un nodo crítico en el flujo de datos personales de sus clientes-marca. Gestiona listas de suscriptores, envía emails en nombre de marcas, configura píxeles y conversiones, segmenta CRMs, ejecuta campañas en plataformas de Meta, Google, TikTok y LinkedIn, optimiza retargeting y, cada vez más, opera audiencias sintéticas creadas con inteligencia artificial. Toda esa actividad consiste en tratar datos personales por cuenta de un tercero, lo que coloca a la agencia en el rol de encargada del tratamiento conforme al art. 28 RGPD.
Esta guía explica cómo regula una agencia de marketing española su relación con los clientes-marca bajo el RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la LSSICE (Ley 34/2002): qué documento contractual hace falta, cómo gestionar los subencargados, dónde está la frontera entre encargado y responsable independiente, y qué hacer al cerrar la relación.
El reparto de roles en la cadena agencia-marca
Cuando una marca contrata a una agencia para gestionar sus comunicaciones comerciales o sus campañas digitales, conviven dos planos de tratamiento de datos personales con roles distintos:
- Datos de los clientes finales de la marca (suscriptores de su newsletter, compradores de su tienda, usuarios de su web, leads de sus campañas): la marca es responsable del tratamiento; la agencia es encargada que ejecuta lo que aquella le indica.
- Datos de la propia agencia (su cartera de clientes-marca, sus contactos comerciales, su plantilla, sus prospectos): la agencia es responsable del tratamiento.
La agencia profesional refleja esta dualidad en dos documentos distintos: su política de privacidad pública en la web, que cubre los datos que ella misma capta (formularios de contacto comercial, newsletter de la agencia, candidatos a empleo), y un anexo de protección de datos del art. 28 RGPD firmado con cada cliente-marca para cubrir los servicios profesionales contratados.
El anexo del art. 28 RGPD: la pieza nuclear de la colaboración
El art. 28.3 RGPD obliga a regular la relación responsable-encargado mediante un contrato u otro acto jurídico vinculante con un contenido mínimo. Aplicado a una agencia de marketing:
| Cláusula | Qué debe decir en una agencia de marketing |
|---|---|
| Objeto y duración | Servicios concretos contratados (gestión de email marketing, campañas de pago, social media, SEO, CRM) durante la vigencia del contrato comercial. |
| Naturaleza y finalidad | Ejecución de las acciones de marketing por cuenta de la marca, sin uso para finalidades propias distintas. |
| Tipos de datos e interesados | Identificativos, contacto, datos de navegación, intereses comerciales, en su caso datos económicos de comportamiento. Interesados: clientes y suscriptores de la marca. |
| Personal de la agencia | Compromiso de confidencialidad por contrato laboral o cláusula específica, acceso a datos del cliente por principio del mínimo privilegio. |
| Medidas de seguridad | Cifrado en tránsito, control de accesos con doble factor a las plataformas del cliente, política de altas y bajas de personal, copia de seguridad de configuraciones críticas. |
| Subencargados | Lista nominal o por categorías de todas las herramientas SaaS que la agencia usa por cuenta del cliente: plataforma de email, CRM, ads manager, analítica, IA generativa. |
| Transferencias internacionales | Identificación de proveedores fuera del EEE (Mailchimp, HubSpot, Google, Meta) y base de la transferencia (Data Privacy Framework o cláusulas contractuales tipo). |
| Asistencia para derechos | La agencia asiste al cliente-marca cuando llega un derecho de acceso, supresión, rectificación, oposición o portabilidad sobre sus datos. |
| Notificación de brechas | Plazo concreto para comunicar al cliente cualquier brecha (típicamente 24-48 horas), información mínima y procedimiento de colaboración. |
| Devolución al finalizar | Entrega al cliente de listas de suscriptores, CRM, históricos y configuraciones en formato estructurado, antes de la supresión posterior. |
Subencargados: la cadena tecnológica de la agencia
Una agencia de marketing trabaja típicamente con una docena de herramientas SaaS: plataforma de email marketing (Mailchimp, Mailjet, Brevo, ActiveCampaign), CRM (HubSpot, Salesforce, Pipedrive), administradores de anuncios (Meta Business Manager, Google Ads, TikTok Ads, LinkedIn Campaign Manager), herramientas analíticas (Google Analytics, Matomo, Hotjar), automatización (Zapier, Make), gestión de redes sociales (Hootsuite, Buffer, Metricool), generación de contenido con IA, herramientas SEO.
Cada una de estas herramientas, cuando procesa datos de los clientes de la marca, es subencargada del tratamiento en el sentido del art. 28.2 RGPD. Las obligaciones prácticas para la agencia:
- Mantener una lista actualizada de los subencargados utilizados por cuenta de cada cliente-marca.
- Firmar con cada subencargado el DPA estándar que ofrecen (todas las plataformas profesionales lo tienen).
- Trasladar al cliente-marca la lista y, cuando aplique, recabar su autorización para incorporar nuevos subencargados.
- Verificar transferencias internacionales: la inmensa mayoría de estas plataformas son estadounidenses y operan bajo el Data Privacy Framework o con cláusulas contractuales tipo.
- Documentar el reemplazo de subencargados cuando la agencia cambia de plataforma, garantizando exportación y supresión.
La frontera con el rol de responsable independiente
El rol de encargado tiene límites claros. Hay tres situaciones en las que la agencia se convierte simultáneamente en responsable independiente sobre datos que también gestiona como encargada:
- Cruce de datos entre clientes: si la agencia cruza listas o comportamientos de varios clientes-marca para construir benchmarks sectoriales propios, sobre esos datos asume finalidad propia y se convierte en responsable. Solo es lícito si los datos están agregados o anonimizados, o si la agencia obtiene base jurídica autónoma.
- Entrenamiento de modelos propios: usar los datos de los clientes-marca para entrenar modelos de scoring, recomendación o IA generativa propios de la agencia es una finalidad propia que no está cubierta por el rol de encargado.
- Prospección comercial cruzada: contactar a los clientes finales de una marca para ofrecerles los servicios de otra marca (incluida la propia agencia) no entra en el rol de encargado y requiere base jurídica autónoma del interesado final.
La práctica profesional limpia es reflejar contractualmente qué tratamientos son de encargado puro y, si la agencia quiere obtener algún valor analítico transversal, regularlo expresamente con autorización explícita del cliente o trabajando con datos anonimizados.
"En una agencia de marketing, el anexo del art. 28 no es papeleo: es la pieza que permite contratar legalmente con marcas serias. Las que no lo ofrecen pierden los clientes que sí saben de protección de datos, y las que lo ofrecen mal pierden la confianza del primer cliente que se lo lee con atención."
Mario P. Talamillo · Socio director, Certix®
Brechas: la agencia como punto débil
Las agencias son objetivo frecuente de ataques porque concentran accesos a múltiples cuentas de plataformas críticas (email, ads, CRM) de varios clientes a la vez. Un compromiso de la cuenta de un account manager puede traducirse en una brecha que afecta a varios clientes-marca simultáneamente. Buenas prácticas:
- Doble factor obligatorio en todas las plataformas del cliente.
- Gestión de contraseñas profesional con bóveda compartida del equipo, no contraseñas en hojas de cálculo o post-its.
- Principio del mínimo privilegio: cada técnico solo accede a los clientes que gestiona, no a todos.
- Protocolo de bajas inmediato: cuando un empleado deja la agencia, todos sus accesos se revocan ese mismo día.
- Detección y respuesta: monitorización de accesos sospechosos en las plataformas críticas y procedimiento para notificar al cliente-marca en menos de 24-48 horas en caso de incidente.
Cierre de la relación: la entrega ordenada que diferencia a las profesionales
El cierre del contrato es donde el art. 28.3.g RGPD se pone a prueba. Procedimiento razonable:
- Inventario completo de lo que la agencia gestionaba: listas de suscriptores, históricos de campañas, configuraciones de plataformas, contenido del CRM, audiencias guardadas en ads.
- Exportación en formato útil y entrega al cliente: CSV de las listas, exportación nativa del CRM, descarga del histórico de plataformas de email y ads.
- Transferencia de propiedad de las cuentas y accesos al cliente o al nuevo proveedor: dominio de email, propiedades de analytics, business manager de Meta, MCC de Google Ads.
- Acta de cierre firmada que documente qué se entrega, en qué fecha y a qué persona.
- Supresión confirmada de los datos tratados como encargado en los sistemas de la agencia, con constancia escrita.
- Conservación residual únicamente de lo que las normas contables y fiscales propias de la agencia exigen sobre la facturación (no sobre los datos personales del cliente final).
Checklist mínimo de la agencia profesional
- Anexo del art. 28 RGPD firmado y archivado con cada cliente-marca.
- Lista actualizada de subencargados utilizados por cliente, con DPA firmado con cada uno.
- Análisis de transferencias internacionales por cliente y por plataforma.
- Política de seguridad operativa con doble factor, gestor de contraseñas y mínimo privilegio.
- Procedimiento de brechas con plazo de notificación al cliente de 24-48 horas.
- Procedimiento de incorporación y baja de personal con revocación inmediata de accesos.
- Acta de cierre estandarizada con entrega documentada y supresión confirmada.
- Política de privacidad pública de la agencia, separada del contenido del DPA con clientes.
Preguntas frecuentes
¿Una agencia de marketing es responsable o encargada del tratamiento sobre los datos de los clientes finales de sus clientes?
La regla general es encargada (art. 28 RGPD): la agencia trata los datos por cuenta del cliente-marca, que es responsable. La agencia sigue siendo responsable de sus propios datos (contactos comerciales, plantilla, proveedores). La dualidad debe regularse con un anexo del art. 28 RGPD para cada cliente-marca.
¿Qué debe firmar una agencia de marketing con su cliente-marca al iniciar la colaboración?
Además del contrato de servicios, un anexo del art. 28.3 RGPD con: objeto, duración, naturaleza, tipos de datos, obligaciones, confidencialidad, medidas de seguridad, subencargados, transferencias internacionales, asistencia para derechos, notificación de brechas y devolución al cierre. Sin este anexo, la marca no puede contratar legalmente a la agencia para tratar sus datos.
¿La agencia puede usar los datos para mejorar sus propios servicios o entrenar modelos?
No, salvo autorización expresa de la marca y base jurídica adecuada. El rol de encargado prohíbe usos para finalidades propias: no cruce de datos entre clientes para benchmarks, no entrenamiento de modelos de IA propios, no reutilización de contactos para otros clientes y no extracción del CRM para bases propias. Lo legítimo es trabajar con datos anonimizados o pactarlo expresamente.
¿Qué pasa con los datos cuando termina la relación entre la agencia y la marca?
El art. 28.3.g RGPD obliga a devolver al cliente los datos antes de destruirlos. Entrega de listas de suscriptores, CRM, históricos y configuraciones en formato útil, transferencia de cuentas y accesos al cliente o al nuevo proveedor, acta de cierre y supresión confirmada en los sistemas de la agencia.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Tu agencia firma el art. 28 RGPD con cada cliente-marca?
En Certix te asignamos un experto en cumplimiento del sector marketing. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto