Cada vez que una empresa recoge, guarda, consulta o envía datos personales está haciendo algo que el RGPD regula con precisión: un tratamiento de datos personales. El concepto es más amplio de lo que parece y engloba operaciones que muchas organizaciones ni siquiera perciben como "tratar datos". Pero donde suelen aparecer las dudas de verdad es en el momento en que esos datos salen de la organización: cuando se comparten con otra empresa, cuando los procesa un proveedor externo o cuando viajan a servidores fuera de Europa.
Estos tres movimientos —comunicar datos a un tercero, encargar su tratamiento a un proveedor y transferirlos internacionalmente— responden a reglas jurídicas distintas y se confunden con frecuencia. Esta guía aclara qué es exactamente el tratamiento según el art. 4.2 RGPD, en qué se diferencia una cesión de un encargo del tratamiento, y qué mecanismos legitiman una transferencia internacional fuera del Espacio Económico Europeo.
En resumen
- El tratamiento (art. 4.2 RGPD) es cualquier operación sobre datos personales: recoger, guardar, consultar, modificar, comunicar, suprimir…
- La cesión es una comunicación de datos a un tercero que actúa como responsable por derecho propio, con sus propias finalidades.
- El encargado del tratamiento (art. 28 RGPD) trata datos por cuenta del responsable, siguiendo sus instrucciones y sin finalidades propias. No es una cesión.
- Las transferencias internacionales fuera del EEE solo son lícitas con un mecanismo de los arts. 44–49: adecuación (art. 45), garantías adecuadas / CCT (art. 46) o excepciones (art. 49).
- Para proveedores SaaS de EE.UU., la base habitual es la adhesión del proveedor al Data Privacy Framework (DPF), no solo las cláusulas contractuales tipo.
Qué es el tratamiento de datos personales (art. 4.2 RGPD)
El art. 4.2 RGPD define el tratamiento como "cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no". La definición es deliberadamente amplia: el legislador europeo quería que ninguna manipulación de datos quedara fuera del alcance de la norma.
El propio artículo enumera, a título de ejemplo, operaciones muy variadas: la recogida, el registro, la organización, la estructuración, la conservación, la adaptación o modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de habilitación de acceso, el cotejo o la interconexión, la limitación, la supresión y la destrucción.
De aquí se extraen dos ideas prácticas que conviene interiorizar:
- Guardar datos ya es tratarlos. No hace falta "usar" activamente la información: la mera conservación de una base de datos de clientes en un servidor constituye tratamiento y activa todas las obligaciones del RGPD.
- El papel importa poco. El tratamiento existe tanto si los datos están en un sistema informático como en un archivo en papel estructurado. La automatización no es un requisito para que la norma aplique.
Todo tratamiento necesita apoyarse en una de las bases de legitimación del art. 6 RGPD (consentimiento, ejecución de un contrato, obligación legal, interés legítimo, etc.). Y, aunque el tratamiento no requiera consentimiento por basarse en un contrato o en una obligación legal, nunca se exime a la organización de su deber de información (art. 13 RGPD): hay que entregar o hacer accesible la cláusula de privacidad en el primer contacto. La transparencia es innegociable, con independencia de la base que legitime el tratamiento.
Cesión de datos frente a encargo del tratamiento: la distinción clave
Cuando los datos salen de la organización hacia otra entidad, la primera pregunta que hay que responder es siempre la misma: ¿quién decide para qué se van a usar esos datos? La respuesta separa dos figuras que se confunden constantemente pero que tienen consecuencias jurídicas opuestas.
La cesión o comunicación de datos a un tercero
Hay cesión (o comunicación de datos) cuando una organización revela datos personales a un tercero que pasa a tratarlos como responsable por derecho propio. El receptor no sigue instrucciones del cedente: incorpora los datos a sus propios ficheros y los usa para sus propias finalidades, bajo su propia responsabilidad.
Ejemplos habituales de cesión son la comunicación de datos a la Administración Tributaria en cumplimiento de una obligación fiscal, el envío de datos de un trabajador a la Seguridad Social, o la comunicación de datos de un cliente a una entidad financiera que decide de forma autónoma qué hace con ellos. En una cesión, cada parte responde de su propio tratamiento y ambas deben contar con una base de legitimación propia.
Por su propia naturaleza, la cesión de datos a terceros está sujeta a un análisis exigente: exige identificar la base jurídica que la ampara, informar de ella al interesado y valorar si la comunicación es realmente necesaria y proporcionada. No es una operación que pueda darse por descontada.
El encargado del tratamiento (art. 28 RGPD)
El encargado del tratamiento, en cambio, trata los datos por cuenta del responsable y siguiendo sus instrucciones, sin decidir para qué se usan. Aquí no hay cesión: los datos no cambian de "dueño de la decisión", simplemente los procesa un proveedor externo en nombre de la empresa. La gestoría que elabora tus nóminas, el CRM en la nube donde guardas tu cartera de clientes o la empresa de informática que mantiene tus servidores son encargados, no cesionarios.
El art. 28 RGPD exige que esta relación se regule mediante un contrato de encargo por escrito con un contenido mínimo tasado (art. 28.3): objeto y duración, naturaleza y finalidad del tratamiento, tipos de datos, obligaciones de confidencialidad, medidas de seguridad, régimen de subencargados, y el destino de los datos al finalizar el servicio, entre otros.
Ese último punto merece una precisión importante. Al terminar el contrato, la obligación prioritaria del encargado no es "destruir" sin más los datos: es devolverlos o permitir su exportación íntegra al responsable —en un formato estructurado y de uso común— para que este pueda cumplir sus propios plazos legales de conservación. La supresión definitiva llega solo después, una vez el responsable dispone de la información. Confundir esto y aceptar un borrado automático a la baja del servicio puede dejar a la empresa sin datos que la ley le obliga a conservar.
Para profundizar en esta figura, su régimen de obligaciones y el contenido del contrato de encargo, puedes consultar nuestra guía sobre el encargado del tratamiento según el RGPD.
| Criterio | Cesión / comunicación a tercero | Encargo del tratamiento (art. 28) |
|---|---|---|
| Rol del receptor | Responsable por derecho propio | Encargado: actúa por cuenta del responsable |
| Quién decide las finalidades | El receptor, de forma autónoma | El responsable; el encargado solo ejecuta |
| Instrumento jurídico | Base de legitimación propia + deber de información | Contrato de encargo por escrito (art. 28.3) |
| Ejemplos | Administración Tributaria, Seguridad Social, entidad bancaria | Gestoría, CRM en la nube, hosting, informática externa |
| Uso propio de los datos | Sí, con sus propios fines | No; prohibido usarlos para finalidades propias |
"La pregunta no es con quién compartes los datos, sino quién manda sobre ellos una vez salen de tu empresa. Si el proveedor obedece tus instrucciones, es un encargado y necesitas un contrato del artículo 28. Si decide por su cuenta, es una cesión y el análisis cambia por completo. Quien no distingue esas dos figuras firma los papeles equivocados."
Mario P. Talamillo · Socio director, Certix®
Transferencias internacionales: cuando los datos salen del EEE
Hay transferencia internacional cuando los datos personales se ponen a disposición de un destinatario situado en un tercer país fuera del Espacio Económico Europeo (EEE) —los Estados de la UE más Islandia, Liechtenstein y Noruega— o de una organización internacional. Esto ocurre con mucha más frecuencia de la que se percibe: contratar un software con servidores en Estados Unidos, usar una herramienta de email marketing extranjera o alojar datos en la nube de un hiperescalador global son, todos ellos, transferencias internacionales.
El Capítulo V del RGPD (arts. 44 a 49) parte de un principio: los datos pueden salir del EEE, pero el nivel de protección no puede degradarse. Para garantizarlo, toda transferencia debe apoyarse en alguno de los mecanismos que la norma prevé. Sin uno de ellos, la transferencia no está permitida.
Mecanismos válidos de transferencia internacional
El RGPD ordena estos mecanismos en una jerarquía práctica que va de lo más sólido a lo más excepcional:
| Mecanismo | En qué consiste | Cuándo se usa |
|---|---|---|
| Decisión de adecuación (art. 45) | La Comisión Europea ha reconocido que el país destinatario ofrece un nivel de protección adecuado. La transferencia no necesita garantías adicionales. | Países con adecuación reconocida (p. ej. Reino Unido, Suiza, Japón, Canadá para el sector privado) |
| Garantías adecuadas — CCT (art. 46) | A falta de adecuación, la transferencia se ampara en garantías adecuadas. Las más habituales son las cláusulas contractuales tipo (CCT) aprobadas por la Comisión. | Proveedores en terceros países sin decisión de adecuación |
| Normas corporativas vinculantes — BCR (art. 47) | Políticas internas de protección de datos aprobadas por la autoridad de control, para transferencias dentro de un mismo grupo multinacional. | Grupos empresariales con filiales fuera del EEE |
| Data Privacy Framework — DPF (art. 45) | Decisión de adecuación específica para EE.UU. Cubre las transferencias a proveedores estadounidenses que se han adherido formalmente al marco. | Proveedores SaaS y cloud de EE.UU. adheridos al DPF |
| Excepciones (art. 49) | En ausencia de los mecanismos anteriores, solo para situaciones concretas: consentimiento explícito e informado, ejecución de un contrato con el interesado, interés público importante… | Uso puntual y excepcional, nunca para transferencias masivas o habituales |
El caso de EE.UU.: el Data Privacy Framework (DPF)
Estados Unidos concentra buena parte de las herramientas SaaS, plataformas cloud y servicios digitales que utilizan las empresas europeas a diario. Por eso merece una regla propia. La vía principal para legitimar una transferencia a un proveedor estadounidense es su adhesión al Data Privacy Framework (DPF), la decisión de adecuación específica que la Comisión Europea adoptó para EE.UU.
Esto tiene una consecuencia muy práctica: si el proveedor figura adherido al DPF, la transferencia queda cubierta directamente por una decisión de adecuación y no es imprescindible firmar cláusulas contractuales tipo adicionales para ese flujo. Por eso el análisis correcto de un SaaS estadounidense empieza siempre por comprobar su adhesión al DPF, y no por asumir que basta con las CCT.
La verificación es sencilla: la lista de entidades adheridas es pública y se consulta en el registro oficial del marco. Si el proveedor no está adherido, la transferencia deberá ampararse en otro mecanismo del art. 46 —típicamente las cláusulas contractuales tipo, acompañadas en su caso de las medidas suplementarias que resulten necesarias tras evaluar el flujo—.
Este es uno de los errores de análisis más frecuentes: contratar una herramienta estadounidense y firmar CCT "por defecto" sin comprobar antes si el proveedor está en el DPF, o al revés, asumir que cualquier proveedor de EE.UU. está cubierto sin verificarlo. Cada flujo internacional exige revisar el mecanismo concreto que lo ampara.
Checklist para tratar, ceder y transferir datos con orden
Este resumen operativo recoge los puntos que toda organización debería revisar antes de compartir o mover datos personales:
| ✓ | Elemento | Referencia |
|---|---|---|
| □ | Cada tratamiento se apoya en una base de legitimación identificada | Art. 6 RGPD |
| □ | Cláusula de privacidad entregada en el primer contacto | Art. 13 RGPD |
| □ | Distinción documentada entre cesionarios (responsables) y encargados | Arts. 4.7, 4.8 y 28 RGPD |
| □ | Contrato de encargo firmado con cada proveedor que trata datos por tu cuenta | Art. 28.3 RGPD |
| □ | Base jurídica propia y análisis de necesidad para cada cesión a terceros | Art. 6 RGPD |
| □ | Inventario de flujos internacionales: qué datos salen del EEE y hacia dónde | Arts. 44–49 RGPD |
| □ | Mecanismo de transferencia verificado (adecuación, CCT, BCR o DPF) | Arts. 45–47 RGPD |
| □ | Adhesión al DPF comprobada para cada proveedor SaaS de EE.UU. | Art. 45 RGPD (DPF) |
| □ | Devolución o exportación de datos garantizada antes de cualquier borrado del encargado | Art. 28.3.g RGPD |
Estos tres planos —tratamiento, cesión y transferencia internacional— forman parte del marco general del Reglamento. Si quieres una visión de conjunto de toda la norma, sus principios, derechos y obligaciones, puedes consultar nuestra guía completa del RGPD.
Preguntas frecuentes
¿Qué se considera tratamiento de datos personales según el RGPD?
El art. 4.2 RGPD define el tratamiento como cualquier operación realizada sobre datos personales, esté o no automatizada. Incluye la recogida, el registro, la conservación, la consulta, la modificación, la utilización, la comunicación por transmisión, la difusión, la interconexión, la limitación, la supresión y la destrucción. Prácticamente cualquier cosa que una organización haga con un dato personal —incluso guardarlo sin usarlo— es un tratamiento sujeto al RGPD.
¿Qué diferencia hay entre una cesión de datos y un encargado del tratamiento?
En la cesión (comunicación de datos a un tercero) el receptor pasa a ser responsable del tratamiento por derecho propio: usa los datos para sus propias finalidades. En el encargo del tratamiento (art. 28 RGPD), el proveedor trata los datos por cuenta del responsable, siguiendo sus instrucciones y sin finalidades propias. Tu gestoría o tu CRM en la nube son encargados; una entidad a la que comunicas datos para que los use para sus propios fines es un cesionario.
¿Cuándo es lícita una transferencia internacional de datos fuera del EEE?
Solo si se apoya en alguno de los mecanismos de los arts. 44 a 49 RGPD: una decisión de adecuación de la Comisión Europea (art. 45), garantías adecuadas como las cláusulas contractuales tipo o las normas corporativas vinculantes (art. 46), o, de forma excepcional y puntual, alguna de las excepciones del art. 49. Sin uno de estos mecanismos, la transferencia a un tercer país no está permitida.
¿Puedo usar un proveedor SaaS estadounidense con datos de clientes europeos?
Sí, siempre que la transferencia esté cubierta por un mecanismo válido. Para proveedores de EE.UU. la vía principal es la adhesión del proveedor al Data Privacy Framework (DPF), la decisión de adecuación específica para Estados Unidos. Antes de contratar la herramienta conviene verificar que el proveedor figura adherido al DPF; si no lo está, habrá que recurrir a las cláusulas contractuales tipo del art. 46 u otro mecanismo de garantía.
Mapear tus flujos de datos, distinguir encargados de cesiones y verificar cada transferencia internacional exige un análisis individualizado de tu organización. En Certix te atiende directamente un experto en protección de datos.
Consultoría de protección de datos →Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. Para una evaluación de la situación de tu organización, contacta con un especialista en protección de datos.