El profesional independiente que presta servicios a empresas accede con frecuencia a datos personales de los que su cliente es responsable del tratamiento: suscriptores del blog, contactos del CRM, leads del formulario, usuarios registrados de la web, clientes finales en facturación, mensajes privados de redes. En el momento en que el freelance entra en esos datos por cuenta del cliente, se convierte en encargado del tratamiento en el sentido del art. 28 del RGPD (Reglamento UE 2016/679), y la relación con su cliente debe estar regulada por un contrato específico.
Esta guía explica cuándo aplica la figura, qué contenido mínimo debe tener ese contrato según el RGPD y la LOPDGDD (Ley Orgánica 3/2018), y cómo se traduce todo a los casos típicos del diseñador web, el desarrollador a medida y el consultor de marketing o negocio.
Cuándo el freelance es encargado del tratamiento
La figura del encargado aparece cuando alguien trata datos personales por cuenta de un responsable, siguiendo sus instrucciones, sin determinar finalidades propias. No depende del título contractual (consultor, colaborador, autónomo) sino del acceso real a datos personales del cliente.
| Perfil freelance | Datos a los que accede | Figura habitual |
|---|---|---|
| Diseñador web | Panel CMS del cliente, formularios, lista de suscriptores, comentarios. | Encargado del tratamiento |
| Desarrollador (web o app) | Base de datos en producción, logs con IPs, usuarios registrados, backups. | Encargado del tratamiento |
| Consultor de marketing | CRM, herramienta de email, audiencias publicitarias, leads del cliente. | Encargado del tratamiento |
| Community manager | Mensajes privados, comentarios, datos de campañas, seguidores. | Encargado del tratamiento |
| Copywriter sin acceso a listas | Solo textos comerciales sin datos de destinatarios. | No es encargado |
| Diseñador gráfico (logo, branding) | No accede a datos personales de terceros. | No es encargado |
Contenido mínimo del contrato del art. 28 RGPD
El art. 28.3 RGPD enumera el contenido obligatorio del contrato entre responsable (cliente) y encargado (freelance). Resumido en bloques prácticos:
- Objeto y alcance: qué servicio se presta, qué tratamientos concretos implica (acceso al CMS, gestión de la newsletter, mantenimiento de la base de datos…).
- Duración: vinculada al contrato principal de servicios.
- Naturaleza y finalidad: descripción funcional, sin abstracciones.
- Tipo de datos y categorías de interesados: clientes finales, suscriptores, empleados del responsable, etc.
- Tratar los datos solo conforme a instrucciones documentadas del cliente.
- Confidencialidad del freelance y de cualquier persona autorizada bajo su responsabilidad.
- Medidas de seguridad técnicas y organizativas (art. 32 RGPD) proporcionales al riesgo.
- Subencargados: régimen de autorización y comunicación.
- Asistencia al responsable en derechos de los interesados (acceso, rectificación, supresión, oposición, portabilidad).
- Asistencia en brechas: notificación al cliente sin dilación y colaboración en la evaluación.
- Devolución o supresión de los datos al cesar el servicio. La obligación prioritaria es devolverlos al cliente; la destrucción procede después y solo cuando él lo confirme.
- Información para acreditar cumplimiento: el freelance debe poder demostrar lo anterior si su cliente lo necesita ante una inspección.
"El freelance que firma un contrato del art. 28 RGPD con su cliente no está añadiendo papeleo: está fijando lo que puede y no puede hacer con esos datos, y blindándose frente al día en que el cliente reciba una inspección. Es protección bilateral, no carga administrativa."
Mario P. Talamillo · Socio director, Certix®
Casos típicos del diseñador web, desarrollador y consultor
Algunos escenarios habituales y cómo el contrato del art. 28 RGPD los regula:
- Diseñador web con acceso al CMS del cliente: instrucciones documentadas sobre qué puede tocar (plantillas, contenido) y qué no (lista de suscriptores, pedidos, usuarios). Si descarga una copia local del sitio con datos reales, el contrato fija que se borra al terminar.
- Desarrollador con acceso a base de datos en producción: minimización (preferir entornos de staging con datos anonimizados), prohibición de exportar datos a equipos personales sin cifrado, registro de accesos.
- Consultor que opera la herramienta de email marketing del cliente: cuentas con usuarios individuales (no compartidas), instrucciones sobre segmentación, prohibición de exportar la lista a otros entornos.
- Profesional que usa IA generativa: el contrato debe pronunciarse expresamente. Cargar datos personales del cliente en un LLM sin autorización es subencargo no autorizado.
- Cierre de la relación: devolución de credenciales, exportación de datos al cliente, borrado de copias locales, baja de accesos compartidos.
Subencargados: lo que casi siempre se descuida
El art. 28.2 y 28.4 RGPD regulan la subcontratación. Para el freelance, los puntos más relevantes:
- Necesita autorización previa del cliente, específica o general (con obligación de informar de cambios).
- Cada subencargado (otro freelance colaborador, herramienta SaaS donde se cargan datos personales, servicio de copia de seguridad externo) debe asumir por escrito las mismas obligaciones que el freelance frente al cliente.
- El freelance sigue respondiendo ante el cliente por el cumplimiento del subencargado.
- Las herramientas SaaS habituales (Notion, Airtable, Trello, plataformas de IA, almacenamiento en la nube) son subencargos típicos y deben estar autorizados y documentados.
Seguridad mínima del profesional independiente
El art. 32 RGPD exige medidas técnicas y organizativas adecuadas. Para un freelance, sin sobredimensionar:
- Contraseñas individuales y gestor de contraseñas (no compartir credenciales por email o WhatsApp).
- Doble factor en todas las cuentas con acceso a datos del cliente.
- Cifrado del disco del portátil y del móvil.
- Copia de seguridad cifrada de los proyectos en curso.
- Separación clara entre datos del cliente y datos propios del freelance.
- Política de borrado al cerrar el proyecto (carpetas locales, accesos compartidos, descargas).
- No usar WhatsApp ni redes sociales para enviar bases de datos o listados de clientes finales.
Checklist del freelance
- Identificar para qué clientes actúa como encargado y para cuáles no.
- Tener un modelo de contrato del art. 28 RGPD propio, adaptable a cada relación.
- Anexar el contrato al de servicios y archivarlo firmado por ambas partes.
- Listar las herramientas SaaS que tocan datos del cliente (subencargados) y asegurar autorización.
- Documentar las medidas de seguridad reales (sin inventar).
- Protocolo de devolución y borrado al cierre del proyecto.
- Protocolo de brechas: a quién avisar, en qué plazo, con qué información mínima.
- Revisar el contrato si cambia el alcance del servicio o se incorporan herramientas nuevas (especialmente IA).
Preguntas frecuentes
¿Cuándo un freelance es encargado del tratamiento de su cliente?
Cuando, en el marco de un servicio prestado, accede a datos personales del cliente y los trata por su cuenta y según sus instrucciones. Es la situación habitual del diseñador web con acceso al CMS, del desarrollador que toca la base de datos en producción, del consultor que opera el CRM o la herramienta de email, del community manager con acceso a mensajes privados.
¿Qué contrato del art. 28 RGPD debe firmar un freelance con su cliente?
Un contrato (o anexo / DPA) con el contenido mínimo del art. 28.3 RGPD: objeto, duración, naturaleza, tipo de datos, instrucciones, confidencialidad, seguridad, régimen de subencargados, asistencia en derechos y brechas, devolución o supresión de los datos al cesar el servicio, e información para acreditar cumplimiento.
¿Puede un freelance subcontratar tareas con datos del cliente sin avisarle?
No. El art. 28.2 RGPD exige autorización previa del cliente, específica o general. Aplica a colaboradores, herramientas SaaS donde se cargan datos del cliente, copias de seguridad externas y uso de IA generativa con datos personales. Cada subencargado asume las mismas obligaciones y el freelance sigue respondiendo ante el cliente.
¿Qué pasa si el freelance no firma contrato del art. 28 RGPD con su cliente?
Es una infracción autónoma del RGPD para ambas partes. Además, deja al profesional sin marco frente a brechas, inspecciones o conflictos comerciales: no hay reglas claras sobre devolución, conservación, reutilización para portfolio ni régimen de subencargados. El contrato es protección bilateral.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Trabajas como freelance y manejas datos de tus clientes?
En Certix te ayudamos a tener listo un contrato del art. 28 RGPD y un esquema de seguridad real, sin sobredimensionar tu actividad.
Hablar con un experto