| Informe | 2016-0012 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0012)
El informe aborda la validez de la contratación directa por parte de la empresa matriz de un grupo, ubicada en el Reino Unido, de servicios de encargados del tratamiento para todas las empresas del grupo, incluidas las españolas. La Agencia Española de Protección de Datos (AEPD) analiza si esta práctica cumple con la Ley Orgánica 15/1999 de Protección de Datos (LOPD) y su Reglamento de Desarrollo.
Puntos clave del informe:
La empresa consultante (española) mantiene la condición de responsable del tratamiento, mientras que la matriz británica actúa como encargada del tratamiento solo si cumple con los requisitos legales. El contrato debe reflejar claramente la relación de encargo conforme al artículo 12 de la LOPD, que exige:
Un contrato escrito entre responsable (consultante) y encargado (matriz o proveedor).
Que el responsable dé instrucciones expresas al encargado.
Que el encargado actúe por cuenta del responsable.
Suficiencia del poder de representación:
La matriz británica no puede firmar el contrato sin un apoderamiento expreso de la consultante. Un apoderamiento genérico o tácito no es válido.
El poder debe ser específico y formalizado por escrito (no necesariamente en escritura pública), autorizando a la matriz para actuar en nombre de la consultante como responsable del tratamiento o como encargado.
Transferencias internacionales de datos:
Si los servicios del encargado incluyen una transferencia internacional de datos (por ejemplo, al Reino Unido), se aplican requisitos adicionales:
El contrato debe cumplir con las cláusulas contractuales tipo de la Decisión 2010/87/UE o las Decisiones de la Comisión Europea que garantizen un nivel adecuado de protección.
La transferencia debe someterse a autorización previa de la AEPD, a menos que el destino (Reino Unido, post-Brexit) tenga un nivel de protección adecuado o se aplique alguna excepción del artículo 34 de la LOPD.
El contrato debe identificar claramente a la consultante como exportadora/exportadora y a la matriz como representante.
Conclusiones de la AEPD:
La consultante debe figurar explícitamente en el contrato como responsable del tratamiento, aunque el documento sea firmado por la matriz británica en su representación.
No basta con un apoderamiento implícito o genérico: el poder debe ser expreso y específico.
En el caso de transferencias internacionales, el contrato debe ajustarse a las cláusulas estándar y ser autorizado por la AEPD, salvo que el país destino tenga un nivel de protección adecuado.
La matriz británica no puede asumir la condición de encargado del tratamiento sin cumplir los requisitos legales, ya que sigue siendo la consultante la única responsable.
Recomendaciones:
Formalizar un apoderamiento explícito de la consultante a la matriz para firmar contratos de encargo del tratamiento.
Redactar el contrato según el modelo de la AEPD o las cláusulas contractuales tipo de la UE, especificando las instrucciones del responsable del tratamiento.
Para transferencias internacionales, comprobar si la matriz puede acogerse a un mecanismo de adecuación (como las cláusulas contractuales tipo) y, en caso contrario, solicitar la preceptiva autorización de la AEPD.
En resumen, el informe subraya la importancia de cumplir escrupulosamente los requisitos formales y sustanciales de la LOPD en la contratación de encargados del tratamiento, especialmente cuando la relación trasciende fronteras y la matriz del grupo asume un papel operativo.