La cesión de datos a terceros por parte de una empresa puede hacerse, siempre que la cesión de datos personales se haga de acuerdo con la normativa de protección de datos. En las siguientes líneas detallamos cómo llevar a cabo una cesión de datos personales a terceros cumpliendo con los requisitos del RGPD y la LOPDGDD para ello.
Contenido del artículo
- ¿Qué es una cesión de datos personales a terceros?
- ¿Puede una empresa dar mis datos personales a otra?
- Cesión de datos a terceros según el RGPD
- Cómo hacer una cesión de datos personales entre empresas
- ¿Cuándo es obligatorio hacer un contrato de cesión de datos a terceros?
- Casos en los que no es necesario informar sobre la cesión de datos según el RGPD
- Cesión de datos a las Administraciones públicas
- Cesión de datos entre empresas del mismo grupo
- Consecuencias de no hacer correctamente la cesión de datos a terceros
- Preguntas frecuentes
- Te ayudamos a cumplir la Ley de Protección de Datos
¿Qué es una cesión de datos personales a terceros?
Se entiende por cesión de datos cualquier mecanismo que proporcione acceso a los datos de un fichero a un tercero interesado.
Es decir, una cesión de datos personales es la comunicación de la información personal que maneja un responsable del tratamiento a otra entidad (puede ser otra empresa o un organismo público) con el objetivo de cumplir alguna finalidad específica.
Por ejemplo, si una gestoría se ocupa de hacer las nóminas de una empresa, la empresa está cediendo los datos personales de sus empleados a la gestoría para ello.
¿Puede una empresa dar mis datos personales a otra?
Sí, puede una empresa dar mis datos a otra siempre y cuando cuente con mi consentimiento expreso y habiéndome informado de a quién se cederán mis datos y con qué finalidad. Así mismo, también puede facilitar mis datos personales a otra organización si existe una ley que autorice esa cesión (por ejemplo, cuando se produce el cruce de datos entre administraciones) o cuenta con una de las bases jurídicas que lo legitiman, recogidas en el artículo 6 del RGPD:
- El ya citado consentimiento del interesado.
- La cesión es necesaria para la ejecución del contrato entre el responsable del tratamiento y el interesado.
- La cesión es necesaria para el cumplimiento de una obligación legal del responsable del tratamiento.
- La cesión es necesaria para proteger intereses vitales del interesado u otra persona física.
- La cesión es necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
- La cesión de datos es necesaria para la satisfacción de intereses legítimos del responsable del tratamiento o de un tercero, siempre que estos no prevalezcan sobre los derechos fundamentales del interesado.
Esto también es de aplicación en caso de que la cesión de datos se produzca fuera de la UE, es decir, a las transferencias internacionales de datos.
Cesión de datos a terceros según el RGPD
El RGPD permite la cesión de datos personales a terceros, cuando esta cesión responde a la prestación de un servicio de la empresa u organización a la que se comunican los datos. Cuando se produce esta cesión de datos personales, el tercero se convierte en el encargado del tratamiento de datos.
De manera que el responsable del tratamiento (la empresa que recaba los datos personales del interesado y los cede a un tercero) sigue siendo responsable del cumplimiento de la normativa y debe asegurarse de que el encargado del tratamiento también la cumpla.
Es importante señalar que un responsable del tratamiento no puede compartir información personal a la que tiene acceso por su actividad de forma libre y sin límites, sino que debe existir una finalidad para ello y tener una base legitimadora para poder ceder esa información a un tercero, como es el consentimiento informado, explícito y libre del interesado.
En Atico34 te ayudamos a realizar un tratamiento de datos personales adecuado al RGPD y LOPDGDD, lo que incluye la gestión del consentimiento para el uso de información personal de terceros.
Requisitos para comunicar datos a terceros
De acuerdo con el RGPD, para que el acceso a mis datos sea legal, se deben cumplir los siguientes requisitos para comunicar datos a terceros:
- Tener una base jurídica que lo legitime (las ya citadas del art. 6 del RGPD).
- Elaborar un contrato de cesión de datos a terceros o contrato de encargo de tratamiento.
- Llevar a cabo acciones de debida diligencia, es decir, comprobar que el encargado del tratamiento cumple con el RGPD, especialmente en lo referente a análisis y de riesgos y medidas de seguridad, sobre todo cuando lo que se cederán serán datos especialmente protegidos por el RGPD.
Cómo hacer una cesión de datos personales entre empresas
A continuación, detallamos los requisitos que la cesión de datos personales entre empresas debe cumplir para garantizar la protección de datos y privacidad de los interesados.
Hacer un contrato de cesión de datos
El responsable del tratamiento debe suscribir con el encargado del tratamiento un contrato en el que regulen los siguientes términos:
- Cumplimiento de la política de seguridad de los sistemas de información electrónica de la empresa.
- Cumplimiento de la política de protección de datos de la empresa.
- Disposiciones apropiadas para garantizar la seguridad continua de la información y los sistemas en el evento de terminación o transferencia de un contrato a otro proveedor.
- Obligaciones de confidencialidad cuando un tercero tiene acceso a la información de la empresa.
- Rutas de acceso seguro y derechos de acceso necesarios para el mantenimiento en función del principio de privilegios mínimos
- Auditoría completa de todas las acciones.
Se debe buscar asesoramiento de especialistas en relación con cuestiones contractuales y cómo deberían incluirse estas medidas. La distribución de datos a esos terceros no debe comenzar hasta que la empresa esté satisfecha con las medidas de seguridad implantadas por ellos y se haya firmado un contrato vinculante.
Así mismo, el contrato de cesión de datos a terceros debe incluir la siguiente información:
- Identidad del destinatario al que se ceden los datos.
- Finalidad de la cesión de los datos.
- Duración del tratamiento y plazo de conservación de los datos.
- Clases de interesados.
- Datos personales a los que se tendrán acceso.
- Obligaciones del responsable y encargado del tratamiento.
Modelo contrato de cesión de datos a terceros
A continuación, os dejamos un modelo de cesión de datos a terceros:
En [ciudad], a [fecha]
REUNIDOS
De una parte, [Nombre del Responsable del Tratamiento], con CIF/NIF [Número], domicilio en [Dirección completa], y correo electrónico [email], en adelante, el Responsable del Tratamiento.
Y de otra parte, [Nombre del Encargado del Tratamiento], con CIF/NIF [Número], domicilio en [Dirección completa], y correo electrónico [email], en adelante, el Encargado del Tratamiento.
Ambas partes, en representación de sus respectivas entidades, reconociéndose capacidad suficiente para formalizar este contrato, acuerdan suscribir el presente Contrato de Encargo de Tratamiento de Datos al amparo del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD) y de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de derechos digitales, de 5 de diciembre (LOPDGDD), en base a las siguientes:
Primera. Objeto
El presente contrato tiene por objeto regular las condiciones en las que el Encargado del Tratamiento accederá a los datos personales bajo la responsabilidad del Responsable del Tratamiento, para la prestación de los servicios de [descripción de los servicios que presta el Encargado del Tratamiento].
Segunda. Naturaleza, finalidad, y categorías de datos
1. Naturaleza del tratamiento: [describir el tipo de tratamiento, e.g., almacenamiento, gestión, eliminación, etc.].
2. Finalidad del tratamiento: [describir el propósito, e.g., gestión de clientes, envío de comunicaciones, etc.].
3. Categorías de datos personales: [e.g., datos identificativos, datos económicos, datos de salud].
4. Categorías de interesados: [e.g., clientes, empleados, usuarios].
Tercera. Obligaciones del Encargado del Tratamiento
El Encargado del Tratamiento se compromete a:
1. Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable del Tratamiento.
2. Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad.
3. Implementar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme a lo dispuesto en el artículo 32 del RGPD.
4. No subcontratar ninguna operación de tratamiento sin la autorización previa, expresa y por escrito del Responsable del Tratamiento.
5. Asistir al Responsable del Tratamiento, cuando sea posible, en la respuesta al ejercicio de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
6. Colaborar con el Responsable del Tratamiento para garantizar el cumplimiento de las obligaciones relativas a la seguridad del tratamiento, notificación de brechas de seguridad y evaluaciones de impacto.
7. Suprimir o devolver al Responsable del Tratamiento todos los datos personales al finalizar la prestación de servicios.
8. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente contrato.
Cuarta. Obligaciones del Responsable del Tratamiento
El Responsable del Tratamiento se compromete a:
1. Facilitar al Encargado del Tratamiento únicamente los datos personales estrictamente necesarios para la prestación de los servicios.
2. Garantizar que los datos personales proporcionados han sido recopilados cumpliendo con la normativa vigente en materia de protección de datos.
3. Supervisar, en su condición de Responsable del Tratamiento, el cumplimiento del presente contrato por parte del Encargado del Tratamiento.
Quinta. Subcontratación
El Encargado del Tratamiento no podrá subcontratar total o parcialmente las actividades de tratamiento encomendadas sin la autorización previa y por escrito del Responsable del Tratamiento. En caso de autorización, el subcontratista deberá asumir las mismas obligaciones que el Encargado del Tratamiento.
Sexta. Confidencialidad
El Encargado del Tratamiento y su personal se comprometen a mantener en estricta confidencialidad los datos personales a los que tengan acceso en el marco de la prestación de servicios objeto del presente contrato, incluso después de finalizada la relación contractual.
Séptima. Seguridad de los datos
El Encargado del Tratamiento se obliga a aplicar medidas técnicas y organizativas apropiadas, de conformidad con el artículo 32 del RGPD, para garantizar un nivel de seguridad adecuado al riesgo del tratamiento.
Octava. Notificación de brechas de seguridad
El Encargado del Tratamiento deberá notificar al Responsable del Tratamiento, sin demora indebida, cualquier violación de la seguridad de los datos personales que gestione en virtud del presente contrato. La notificación incluirá toda la información necesaria para que el Responsable cumpla con su obligación de informar a la autoridad de control y, en su caso, a los interesados.
Novena. Duración del contrato
El presente contrato tendrá una vigencia desde la fecha de su firma y durante todo el periodo de prestación de los servicios, salvo que cualquiera de las partes decida resolverlo con un preaviso de [plazo] a la otra parte.
Décima. Resolución
En caso de incumplimiento de las obligaciones establecidas en el presente contrato por parte del Encargado del Tratamiento, el Responsable del Tratamiento podrá resolver el contrato de forma inmediata y sin derecho a indemnización.
Undécima. Jurisdicción y ley aplicable
El presente contrato se regirá e interpretará conforme a la legislación vigente en España. Las partes acuerdan someter cualquier controversia derivada del mismo a los Juzgados y Tribunales de [jurisdicción aplicable]. En prueba de conformidad, ambas partes firman el presente contrato en duplicado y a un solo efecto.
Como veis, se trata de un modelo de contrato de cesión de datos genérico, que debe personalizarse según las necesidades de la empresa y el destinatario de los datos.
Consentimiento para la cesión de datos personales
Cuando la base legitimadora para la cesión de datos personales a terceros es el consentimiento del interesado, este siempre debe ser explícito (el interesado debe aceptar mediante una acción afirmativa) e informado, es decir, se debe, como ya hemos indicado, informar al interesado de que sus datos serán cedidos a terceros y la finalidad para ese tratamiento.
Cabe señalar que la normativa señala que el consentimiento para la cesión de datos será nulo cuando la información facilitada al interesado no permita conocer la finalidad para la que se destinarán sus datos, ni el tipo de actividad que realiza el destinatario o tercero al cual se pretenden comunicar dichos datos.
En caso de que el encargado del tratamiento quiera subcontratar algún servicio que conlleve el acceso de un tercero a los datos, necesitará el consentimiento del responsable del tratamiento, ya sea con un contrato a tres bandas o en una cláusula contractual que recoja el expreso mandato del responsable del fichero para la subcontratación de dichos servicios.
Debida diligencia
El proceso de selección de un proveedor de servicios externo debe incluir la debida diligencia del tercero, una evaluación de riesgos y una revisión de los términos y condiciones propuestos para garantizar que la empresa no está expuesta a riesgos indebidos.
Este proceso puede implicar el asesoramiento de miembros de empresa con experiencia en derecho contractual, informática, seguridad de la información, protección de datos y recursos humanos.
Este proceso también debe incluir la consideración de cualquier política de seguridad de la información o similar del tercero y si son aceptables para la empresa.
¿Cuándo es obligatorio hacer un contrato de cesión de datos a terceros?
El contrato de acceso a datos es obligatorio siempre que la empresa responsable de los datos personales contrate los servicios de un tercero y este, para poder prestar dichos servicios, necesite acceder a esa información personal.
Veamos algunos ejemplos:
- Asesorías: las asesorías tienen acceso a los datos personales de los trabajadores de la empresa que las ha contratado para elaborar sus nóminas o a las facturas donde aparecen datos de los clientes de esa empresa para gestionar los impuestos. Deben firmar obligatoriamente ese contrato de encargados del tratamiento con la empresa.
- Agencias de marketing: si contratas a una empresa para llevar los temas de marketing y publicidad, esta también tendrá acceso a datos personales de clientes y empleados por lo que igualmente deberá firmar ese contrato.
- Empresas informáticas y de alojamiento web: en caso de que tu empresa externalice los servicios de mantenimiento informático o tengas una página web alojada en un servidor de un tercero, esas empresas podrán acceder a datos de tus clientes y empleados por lo que deben firmar también este contrato.
Casos en los que no es necesario informar sobre la cesión de datos según el RGPD
El RGPD establece casos en los que no será necesario informar sobre la cesión de datos. Estos casos son:
- Cesión autorizada por Ley.
- Se trate de datos recogidos de fuentes de acceso público, siempre y cuando los datos sean para la satisfacción de interés legítimo propio y se respeten los derechos de los interesados.
- El tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique una necesaria conexión del tratamiento de ficheros de terceros. En otras palabras, cuando exista un contrato para prestar un servicio.
- El destinatario de la comunicación sea el Defensor del Pueblo, el Ministerio Fiscal, el Tribunal de Cuentas o Jueces o Tribunales.
- La cesión sea entre Administraciones Públicas con el fin de tratarlos posteriormente con finalidad histórica, estadística o científica.
- La cesión de datos relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero.
Cesión de datos a las Administraciones públicas
Cualquier cesión de los datos deberá fundarse en la necesidad por la Administración cesionaria, en el ejercicio de sus competencias, de conocer los datos de la persona afectada, debido a que la ley de Protección de datos establece la imposibilidad del tratamiento de los datos para fines diferentes de los que motivaron su recogida, salvo que así lo consienta el afectado o la Ley lo prescriba.
Aplicando este criterio, la cuestión del uso legítimo de los datos por las Administraciones públicas vendrá determinada en cada caso por el cumplimiento de ambas premisas, siendo por ello determinante la consideración del desarrollo de competencias efectivamente atribuidas a cada una de ellas, de acuerdo con el principio administrativo de competencia.
Cesión de datos entre empresas del mismo grupo
Las sociedades que se integren dentro de un Grupo de Empresas, tienen personalidad jurídica plena e independiente entre sí, y, por tanto, todo intercambio de datos que se produzca entre diferentes empresas del mismo Grupo empresarial será estimada como una comunicación o cesión de datos.
Así, se exige que cada empresa del grupo previamente:
- Informe de la cesión y su finalidad al afectado.
- Solicite su consentimiento.
No obstante lo anterior, es común en los grupos de empresas la existencia de una sociedad matriz que normalmente se encarga de la gestión de los datos de las otras empresas para proporcionarles servicios como la gestión de nóminas, contabilidad, marketing, soporte informático, etc.
En estos casos, aunque se trata de una cesión o comunicación de datos, debe tenerse en cuenta:
- Para evitar que esta comunicación sea interpretada como una cesión, se deberá formalizar un contrato de encargado de tratamiento entre la empresa matriz y aquella que le remita sus datos.
- La encargada del tratamiento es la empresa matriz, y realizará ese tratamiento según las instrucciones facilitadas por las empresas responsables de los datos.
- La empresa remitente de los datos sigue siendo responsable de los datos que maneja.
Por tanto, salvo en supuestos de prestación de servicios por parte de la empresa matriz a las filiales, o entre las mismas, toda cesión o comunicación de datos que no suponga el acceso a datos por cuenta de terceros requerirá el consentimiento del afectado, así como el deber de información.
Consecuencias de no hacer correctamente la cesión de datos a terceros
No hacer correctamente y de acuerdo con la ley de protección de datos una cesión de datos personales a terceros, es motivo de multa por incumplimiento del RGPD.
Las sanciones relativas a los incumplimientos por cesiones de datos personales varían en función de la gravedad de la infracción:
- Leves: Hasta 40.000 euros.
- Graves: De 40.001 a 300.000 euros.
- Muy graves: De 300.001 a 20 millones de euros o el 4% de la facturación anual.
Preguntas frecuentes
¿Cuándo se considera una cesión de datos personales un tratamiento de datos?
El RGPD señala que la cesión de datos personales a terceros será considerada cuando “el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo cumplimiento y control implique una necesaria conexión del tratamiento de ficheros de terceros“. Es decir, en aquellos casos en los que exista un contrato para prestar un servicio.
¿Puede una empresa dar mis datos a otra sin mi consentimiento?
No, salvo en aquellos casos previstos por la normativa. Por ejemplo, no será necesaria la autorización para la cesión de datos a terceros cuando esté autorizado por la ley, cuando los datos sean necesarios para resolver problemas relacionados con la salud pública o cuando los datos hayan sido obtenidos de una fuente pública y se respeten los derechos de los interesados.
Al finalizar la relación contractual, ¿qué se hace con los datos?
En el contrato firmado entre el responsable y el encargado del tratamiento debe establecerse expresamente el destino de los datos una vez finalizada la relación contractual.
El responsable del tratamiento puede acordar eliminar todos los datos personales al finalizar los servicios o que el encargado del tratamiento se los devuelva.
Si necesitas asesoramiento personalizado, no dudes en ponerte en contacto con Atico34.
