Muchas pymes españolas trabajan con un informático externo o con una empresa de mantenimiento IT que se encarga del soporte técnico, la configuración de equipos, los backups, el correo, los servidores y, cada vez más, también del entorno cloud. Esa figura es operativamente imprescindible. Y, sin embargo, es uno de los puntos donde más pymes incumplen el RGPD sin saberlo: el informático tiene acceso a sistemas con datos personales y la mayoría no firma con la pyme el contrato que el art. 28 RGPD exige.
Esta guía explica cómo regular esa relación bajo el RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018): cuándo el informático es encargado, qué documento concreto hay que firmar, qué contenido mínimo debe tener, cómo gestionar los accesos remotos y las copias de seguridad, y cómo cerrar correctamente el cambio cuando se pasa a otro proveedor IT.
Cuándo el informático es encargado del tratamiento
El art. 28 RGPD define al encargado del tratamiento como aquella persona física o jurídica que trata datos personales por cuenta del responsable. La nota característica es que el encargado no decide finalidades ni medios propios: ejecuta lo que el responsable le indica.
Aplicado a la realidad de la pyme, casi cualquier informático externo encaja en esa definición. Estas son las situaciones típicas en las que es claramente encargado:
- Mantenimiento recurrente de los equipos de la pyme, con acceso remoto o presencial a estaciones de trabajo y servidores.
- Administración del correo corporativo, incluida la creación, modificación y baja de cuentas.
- Gestión de copias de seguridad: realización, custodia, prueba y restauración de backups que contienen datos personales.
- Configuración y soporte del ERP, CRM, software de RRHH u otros sistemas que tratan datos.
- Administración de la infraestructura cloud (Microsoft 365, Google Workspace, AWS, Azure, GCP) contratada por la pyme.
- Soporte por incidencias con acceso a equipos individuales donde puede haber datos.
- Migración de sistemas de un servidor antiguo a uno nuevo, de un proveedor cloud a otro, o de un software a otro.
En todos estos casos hace falta el contrato del art. 28 RGPD. Las únicas situaciones que claramente quedan fuera son las intervenciones muy puntuales sin acceso a datos personales (por ejemplo, instalación de un equipo nuevo sin migración de datos previa, sustitución de un router sin acceso a la red interna). En la práctica, esas excepciones son raras.
Qué documento hay que firmar exactamente
El art. 28.3 RGPD permite que la regulación se haga mediante contrato u otro acto jurídico vinculante con arreglo al Derecho de la Unión o de los Estados miembros. Las tres formas más habituales son:
- Contrato de servicios IT con anexo de protección de datos: el contrato comercial regula horas, tarifas y SLA; el anexo regula el rol de encargado. Es la forma más común y limpia.
- Contrato específico de encargo del tratamiento, firmado en paralelo al contrato de servicios. Útil cuando el contrato comercial no se quiere modificar.
- Contrato unificado que integra desde el inicio servicios IT y régimen del art. 28 RGPD. Más limpio jurídicamente pero menos habitual.
Lo que no es suficiente:
- El contrato de servicios mercantil estándar sin mención al RGPD ni al art. 28: no cubre el contenido mínimo exigido.
- Un correo electrónico genérico del informático afirmando que cumple el RGPD: no es un acto jurídico vinculante con el contenido del art. 28.3.
- Una cláusula breve en el presupuesto inicial que dice "se cumplirá la normativa de protección de datos": vacía de contenido.
Contenido mínimo del contrato
El art. 28.3 RGPD fija el contenido mínimo obligatorio. Adaptado al informático IT de una pyme:
| Cláusula | Qué debe decir aplicado al informático IT |
|---|---|
| Objeto y duración | Servicios de mantenimiento, administración de sistemas, soporte y otros descritos en el contrato comercial, durante la vigencia de la relación. |
| Naturaleza y finalidad | Mantener operativos los sistemas de la pyme para que esta pueda desarrollar su actividad. Sin que el informático pueda usar los datos para finalidades propias. |
| Tipos de datos y categorías de interesados | Identificativos, contacto, laborales, comerciales, financieros, de empleados, clientes, proveedores y, en su caso, categorías especiales que pueda contener cualquier sistema. |
| Obligaciones generales | Tratar los datos siguiendo instrucciones documentadas del responsable, no usarlos para finalidades propias, mantener confidencialidad incluso después de la finalización del contrato. |
| Personal del informático | Compromiso de confidencialidad por escrito de cualquier técnico con acceso, control de altas y bajas de personal del proveedor, registro de quién accede a qué. |
| Medidas de seguridad | Conexión remota cifrada (VPN o equivalente), uso de cuentas individuales con contraseñas fuertes y doble factor, registro de acceso, cifrado de copias, gestión de vulnerabilidades. |
| Subencargados | Lista de los subencargados que utiliza (otro técnico colaborador, plataforma de monitorización remota, proveedor cloud) y obligación de notificar cambios. |
| Asistencia para derechos | El informático asiste a la pyme cuando llega un derecho de acceso, supresión, rectificación, oposición o portabilidad y ello requiere intervención técnica. |
| Notificación de brechas | Obligación de comunicar a la pyme sin dilación indebida (idealmente en menos de 24-48 horas) cualquier brecha o incidente de seguridad detectado. |
| Devolución al finalizar | Devolución de claves, copias y configuraciones a la pyme o al proveedor entrante; supresión segura de los datos que el informático conservaba para su operativa. |
Accesos remotos: lo que de verdad importa en el día a día
El informático IT trabaja típicamente por acceso remoto a los sistemas de la pyme. Esa intervención plantea tres puntos críticos que el contrato debe regular y la práctica debe respetar:
- Canal cifrado: el acceso remoto se realiza por VPN corporativa o por solución equivalente que cifre la sesión completa. No por escritorio remoto expuesto a internet sin autenticación reforzada.
- Cuentas individuales: cada técnico del proveedor IT que accede a los sistemas usa su propia cuenta nominal, no una cuenta compartida del proveedor. Las altas y bajas del personal del proveedor se notifican a la pyme para que pueda actualizar permisos.
- Registro de acceso: los sistemas conservan log de quién, cuándo, desde dónde y a qué accedió, durante un plazo razonable. Permite auditar la actividad en caso de incidente.
Copias de seguridad: el punto donde más fácilmente se pierde el control
Las copias de seguridad son uno de los lugares más sensibles del régimen del art. 28 RGPD. Las preguntas que el contrato debe responder:
- Dónde se almacenan: servidor del informático, servidor de la pyme, proveedor cloud externo. Si está fuera del EEE, activa el Cap. V RGPD.
- Quién accede: solo personal autorizado del proveedor, con cuenta individual y registro.
- Cómo se cifran: en tránsito y en reposo. La clave de cifrado, idealmente, en custodia de la pyme.
- Cuánto tiempo se conservan: política clara de rotación (diaria, semanal, mensual), con destrucción segura de copias antiguas.
- Cómo se prueba la restauración: al menos una prueba completa al año, documentada. Una copia que no se ha restaurado nunca es una copia que no existe.
- Qué pasa al finalizar la relación: las copias bajo gestión del proveedor se devuelven a la pyme o al nuevo proveedor entrante, no se destruyen sin más.
"El informático externo de la pyme es uno de los actores con más acceso a datos y, paradójicamente, uno con los que más pymes operan sin contrato del art. 28 firmado. Es exactamente el patrón que la AEPD sanciona cuando llega una brecha: responsable que no eligió encargado con garantías y no documentó la relación. Cinco páginas firmadas resuelven el problema."
Mario P. Talamillo · Socio director, Certix®
Brechas y notificación: el procedimiento que muchas pymes no han ensayado
El art. 33 RGPD obliga al responsable a notificar a la AEPD cualquier brecha de seguridad que pueda generar riesgo para los derechos y libertades de los afectados, en un plazo no superior a 72 horas desde que se tiene conocimiento. Para que la pyme pueda cumplir ese plazo, el informático debe avisarle muy rápido. El contrato debe fijarlo expresamente:
- Plazo concreto para que el informático comunique cualquier incidente a la pyme (típicamente 24 a 48 horas como máximo).
- Información mínima de la primera comunicación: naturaleza del incidente, sistemas afectados, datos potencialmente comprometidos, medidas inmediatas adoptadas.
- Colaboración técnica para preparar la notificación a la AEPD si procede y, en su caso, la comunicación a los afectados.
- Documentación posterior: análisis de causa raíz, medidas para evitar reproducción.
Cambio de proveedor IT: la fase más crítica
El cambio de informático externo es el momento donde más cumplimiento se pierde si no se gestiona ordenadamente. Procedimiento razonable:
- Inventario completo de lo que el informático saliente gestionaba: servidores, equipos, dominios, certificados, cuentas administrativas, copias de seguridad, contratos cloud, software con licencia.
- Entrega de claves al responsable (la pyme) o al proveedor entrante: contraseñas administrativas, llaves de cifrado, configuraciones específicas, scripts personalizados, documentación técnica.
- Devolución o transferencia de copias de seguridad: el saliente no puede limitarse a destruirlas; debe entregarlas o garantizar el acceso al entrante.
- Supresión confirmada de los datos que el saliente conservaba para su propia operativa, con constancia escrita.
- Cambio de credenciales de todos los sistemas: contraseñas administrativas, cuentas de servicio, accesos de terceros que el saliente conocía.
- Firma del contrato del art. 28 RGPD con el proveedor entrante antes de empezar a operar.
- Actualización del RAT de la pyme: nuevo encargado, nuevas medidas, eventual nuevo subencargado cloud.
Checklist mínimo del informático IT externo
- Contrato del art. 28 RGPD (o anexo) firmado y archivado con el informático actual.
- Lista de subencargados del proveedor IT, actualizada y monitorizada.
- Análisis de transferencias internacionales si el informático o sus subencargados operan fuera del EEE.
- Política de accesos remotos: VPN o canal cifrado, cuentas individuales, log de actividad.
- Política de copias de seguridad: ubicación, cifrado, plazos, prueba de restauración anual.
- Plazo expreso de notificación de brechas (24-48 horas) y procedimiento de colaboración.
- Procedimiento de cambio de proveedor IT con entrega de claves, copias y supresión documentada.
- Cambio rutinario de credenciales tras la salida de cualquier técnico con acceso administrativo.
Preguntas frecuentes
¿Es el informático externo de mi pyme un encargado del tratamiento bajo el RGPD?
Sí, casi siempre. El informático que accede a equipos, servidores, correo o copias de seguridad de la pyme trata datos personales por cuenta del responsable y es encargado del tratamiento (art. 28 RGPD). La relación debe regularse por contrato escrito con el contenido del art. 28.3. No importa si el servicio es por horas, mensual o por incidencias: cualquier acceso técnico recurrente activa la obligación contractual.
¿Qué debe firmar mi pyme con el informático: un anexo, un contrato aparte o se incluye en el contrato de servicios?
Las tres formas son válidas siempre que el documento final contenga las cláusulas obligatorias del art. 28.3 RGPD. Lo más común es firmar un anexo de protección de datos vinculado al contrato de servicios IT. El contrato mercantil estándar por sí solo no cubre el contenido específico que el RGPD exige (subencargados, asistencia, brechas, devolución).
¿El informático externo puede llevarse a su casa copias de los datos para trabajar?
Solo si el contrato lo autoriza, las medidas de seguridad lo permiten y el dato copiado es el mínimo imprescindible. Lo razonable es trabajar sobre los sistemas de la pyme por conexión cifrada sin extraer datos. Cuando la extracción es inevitable, debe documentarse, limitarse al dato necesario, conservarse cifrada y destruirse de forma segura tras la tarea.
¿Y si el informático cesa la relación con mi pyme o cambio a otro proveedor IT?
El art. 28.3.g RGPD obliga al encargado a devolver al responsable los datos antes de destruirlos. Entrega de claves, devolución o transferencia de copias de seguridad, supresión confirmada de copias residuales y cambio de credenciales de todos los sistemas. Toda la transición debe estar documentada. Cambiar de proveedor sin esta entrega ordenada es una fuente habitual de discusiones posteriores.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Tienes firmado el art. 28 RGPD con tu informático externo?
En Certix te asignamos un experto en cumplimiento para pymes. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto