Encargado del tratamiento: qué firmar con tu proveedor

Principales conclusiones

• Si un proveedor accede o aloja datos de pacientes, necesitas un contrato de encargado de tratamiento por escrito antes de empezar a usar el servicio.
• El contrato debe dejar claro dónde se alojan los datos, qué subencargados intervienen y qué instrucciones puede ejecutar el proveedor sin pedir permiso.
• Las medidas de seguridad no se resuelven con una frase genérica: pide compromisos verificables y un canal claro para notificar incidentes.
• La salida del proveedor (devolución, borrado y plazos) es donde más se atascan las clínicas; déjalo firmado y operativo desde el primer día.

Gestionar una clínica implica delegar tareas en terceros: software, nube, gestoría, mantenimiento o mensajería. En cuanto un proveedor toca datos de pacientes, ya no es “un servicio más”: es un encargado del tratamiento y hay que firmar.

Encargado del tratamiento: cuándo aplica en una clínica

En una clínica, el “encargado del tratamiento” es el proveedor que trata datos personales por tu cuenta y siguiendo tus instrucciones. Esta figura y su contrato están regulados por el RGPD (art. 28) y debe formalizarse por escrito.

Ejemplos típicos en el día a día

Piensa en situaciones reales de recepción y gestión:

• Software de historia clínica / agenda que aloja fichas, citas, recordatorios y facturación: el proveedor suele ser encargado (y a veces también hay subencargados).
• Servicio de copias de seguridad en la nube donde se sube una exportación de la base de datos: encargado.
• Centro de llamadas que confirma citas y ve nombre, teléfono y huecos: encargado.
• Empresa de mantenimiento informático que entra por acceso remoto al servidor o a los equipos donde está el programa: encargado si puede ver datos.
• Plataforma de email/SMS que envía recordatorios con datos identificativos: normalmente encargado (aunque conviene revisar el caso concreto).

En cambio, una empresa que te vende hardware precintado (sin acceder a tus sistemas) no tiene por qué ser encargada. La pregunta práctica es: ¿puede acceder a datos personales o los aloja? Si la respuesta es sí, necesitas contrato.

Acción aplicable (hoy)

Haz una lista rápida de proveedores con tres columnas: “Accede”, “Aloja”, “Podría acceder por soporte”. Todo lo que marque alguna casilla, revísalo para contrato de encargado de tratamiento.

Qué debe incluir el contrato de encargado de tratamiento

El RGPD exige un contenido mínimo. En clínica conviene aterrizarlo a operaciones concretas: agenda, ficha, cobros, comunicación con pacientes y soporte técnico.

1) Objeto, duración y tipo de datos tratados

No aceptes un contrato que diga “prestación de servicios” sin más. Debe indicar:

• Qué servicio se presta (por ejemplo, “alojamiento y soporte del sistema de gestión de pacientes”).
• Durante cuánto tiempo (vigencia y qué pasa al terminar).
• Qué datos se tratan: identificativos, contacto, datos de salud (categorías especiales), datos de facturación, etc.
• Qué categorías de interesados: pacientes, representantes legales, personal, proveedores si procede.

Acción aplicable (esta semana): pide al proveedor que te entregue un anexo con “tipos de datos” y “operaciones” (alta de ficha, cita, recordatorio, facturación, exportación, soporte). Si no lo tiene, que lo redacte.

2) Instrucciones documentadas: qué puede hacer el proveedor

El contrato debe decir que el proveedor solo trata datos conforme a tus instrucciones. En la práctica, lo que más problemas causa es que no se define qué cuenta como “instrucción”.

Asegura que quede claro:

• Qué operaciones hará sin pedir permiso cada vez (por ejemplo, mantenimiento, copias, soporte).
• Qué operaciones requieren autorización previa (por ejemplo, acceso a datos reales para diagnosticar un error).
• Cómo se documentan las instrucciones: ticket, email, portal de soporte.

Acción aplicable: establece una regla interna: “soporte con datos reales solo con ticket y autorización del responsable de la clínica”, y que el contrato lo permita y lo refleje.

3) Confidencialidad: quién puede ver datos y con qué control

No basta con “el proveedor guardará secreto”. Pide concreción:

• Personal del proveedor sujeto a deber de confidencialidad.
• Control de accesos por roles (no todo el equipo de soporte con acceso total).
• Registro de accesos o, al menos, trazabilidad de intervenciones de soporte.

Acción aplicable: solicita al proveedor el procedimiento de soporte: cuándo acceden, quién autoriza, si se registra la intervención y cómo se cierra.

Dónde se alojan los datos y qué implica para tu clínica

“Dónde se alojan los datos” no es una curiosidad técnica. Afecta a transferencias internacionales, a quién puede intervenir y a cómo respondes ante una inspección o una brecha.

Qué preguntar (sin entrar en jerga)

Con una conversación de 10 minutos puedes aclarar lo esencial:

1. ¿En qué país o países se almacenan los datos y las copias?
2. ¿Se procesan fuera del EEE en algún punto (soporte, monitorización, analítica)?
3. ¿Qué entidades intervienen como subencargados? (ver siguiente sección)
4. ¿Cómo se separan mis datos de los de otras clínicas? (multi-tenant, entornos, etc.)

Si hay transferencia internacional, debe estar cubierta por los mecanismos del RGPD (por ejemplo, decisiones de adecuación o cláusulas contractuales tipo). No hace falta que lo resuelvas “a ojo”: exige que el proveedor lo explique y lo documente.

Acción aplicable

Añade a tu checklist de compras una pregunta obligatoria: “Confirma por escrito dónde se alojan los datos y dónde se guardan las copias”. Sin esa respuesta, no se activa el alta del servicio.

Subencargados: la cadena real de proveedores

En clínica es habitual que un proveedor principal subcontrate piezas: hosting, mensajería, monitorización, soporte. Esos terceros son subencargados.

Qué debe constar en el contrato

El RGPD exige que el responsable (tu clínica) controle esa cadena. En la práctica, busca:

• Lista de subencargados actuales (nombre y función).
• Cómo te informarán de altas o cambios de subencargados.
• Si tienes derecho de oposición y cómo se ejerce (plazo y canal).
• Que el proveedor imponga al subencargado obligaciones equivalentes a las del contrato principal.

Lo operativo: si mañana el proveedor cambia de empresa de hosting o mete una herramienta nueva que “ve” datos, tú tienes que enterarte antes o, al menos, con un procedimiento pactado.

Acción aplicable

Pide el “listado de subencargados” como documento aparte y guárdalo junto al contrato. En tu revisión trimestral, comprueba si ha cambiado y si te lo comunicaron según lo pactado.

Medidas de seguridad: qué pedir sin volverte técnico

Las medidas de seguridad deben ser adecuadas al riesgo, y en sanidad el listón sube porque hablamos de datos de salud (categorías especiales). La AEPD insiste en el enfoque de responsabilidad proactiva: poder demostrar que has elegido y controlado a tus proveedores.

Medidas mínimas que se entienden en una clínica

Sin entrar en “fichas técnicas”, pide compromisos claros sobre:

• Control de accesos: usuarios nominativos, contraseñas, roles.
• Registro de acciones: quién accede, qué cambia, cuándo (especialmente en historia y facturación).
• Cifrado: en tránsito y, si aplica, en almacenamiento (que lo confirmen por escrito).
• Copias de seguridad: periodicidad definida, pruebas de restauración y separación de entornos.
• Gestión de vulnerabilidades y parches: cómo se actualiza y en qué plazos internos.
• Soporte: canales, identificación del solicitante y límites de acceso.

Evita frases tipo “aplicaremos medidas adecuadas”. Pide que te digan cuáles y cómo se verifica.

Qué revisar en tu propia clínica (no solo en el proveedor)

El proveedor no arregla una mala operativa interna. Revisa:

• Altas y bajas de personal: cuentas individuales y desactivación inmediata al finalizar relación laboral.
• Permisos por rol: recepción no necesita ver todo lo que ve un sanitario, y contabilidad no necesita ver notas clínicas.
• Exportaciones: quién puede sacar listados y con qué finalidad.

Acción aplicable: el lunes, revisa la lista de usuarios del sistema y confirma que no hay cuentas genéricas (“Recepción”, “Admin”) ni ex-empleados activos.

Incidentes y brechas: cómo te enteras y qué hace cada uno

Cuando hay una brecha (pérdida, acceso indebido, ransomware), la clínica necesita dos cosas: enterarse rápido y poder actuar. El RGPD marca obligaciones de notificación en determinados casos; no esperes a leerlo en mitad del problema.

Qué debe decir el contrato

Incluye, como mínimo:

• Canal de notificación (email específico, teléfono, portal).
• Qué información te darán: tipo de incidente, sistemas afectados, datos implicados, medidas aplicadas.
• Colaboración: qué logs o evidencias pueden aportar y en qué formato.
• Coordinación: quién es el punto de contacto y tiempos de respuesta comprometidos (sin inventar cifras; pide que lo definan).

Acción aplicable

Define un mini-protocolo interno de 1 página: “si el proveedor avisa de incidente, avisa a gerente + DPO/asesor, congela cambios, recopila tickets y comunicaciones”. Guárdalo con el contrato.

Fin del servicio: devolución, borrado y bloqueo de datos

La salida es el momento más delicado: migraciones, cambios de proveedor, cierre de consulta o reestructuraciones. Si no está firmado, se improvisa.

Lo que conviene dejar cerrado

El contrato debe concretar:

• Devolución de datos: formato, método de entrega y alcance (fichas, documentos, agenda, facturas, adjuntos).
• Borrado: qué se borra, cuándo y cómo se acredita.
• Conservación: si por motivos legales o técnicos hay retención, que se explique (por ejemplo, copias de seguridad durante un periodo), y cómo se limita el acceso.
• Asistencia en migración: qué soporte dan y en qué condiciones (aunque sea como servicio adicional, que exista un camino).

En una clínica, el problema típico es descubrir tarde que los adjuntos (consentimientos firmados, informes escaneados) no salen en la exportación estándar.

Acción aplicable

Antes de firmar, pide una muestra de exportación o una descripción exacta del “paquete de salida”: qué incluye y qué no. Si usas un software de gestión como ClinicaDigital Software, exige que el contrato describa el procedimiento de salida sin ambigüedades.

Cómo aplicarlo en tu clínica

1. Gerencia (hoy): lista proveedores que acceden o alojan datos y marca cuáles no tienen contrato firmado.
   Comprobación: existe un documento por proveedor en tu carpeta de “RGPD/Proveedores”.

2. Recepción + responsable de sistemas (mañana): revisan “dónde se alojan los datos” y si hay subencargados en los servicios críticos (agenda/historia, backups, mensajería).
   Comprobación: tienes un email o anexo contractual con país de alojamiento y lista de subencargados.

3. Dirección sanitaria o responsable de calidad (esta semana): valida que las instrucciones de soporte están acotadas (cuándo pueden ver datos reales y cómo se autoriza).
   Comprobación: existe un procedimiento interno de “soporte con datos” y se usa para abrir tickets.

4. Administración (viernes): revisa cláusulas de fin de servicio: exportación, devolución y borrado. Si falta, solicita adenda.
   Comprobación: el contrato describe formato de exportación y borrado, o hay un compromiso escrito del proveedor.

5. Responsable de protección de datos / asesor (al cierre de semana): verifica coherencia con tu registro de actividades y contratos.
   Comprobación: el registro de proveedores está actualizado y coincide con los contratos y anexos guardados.

Preguntas frecuentes

¿Cuándo tengo que firmar un contrato de encargado?

Tienes que firmarlo antes de que el proveedor acceda o aloje datos personales por cuenta de la clínica. Si ya está en marcha, regularízalo cuanto antes y documenta la fecha de firma. No lo sustituyen condiciones genéricas si no cubren el contenido exigido por el RGPD.

¿Qué pasa si el proveedor usa subencargados no declarados?

Pasa a ser un riesgo de incumplimiento y de pérdida de control sobre el tratamiento. Exige el listado de subencargados, el mecanismo de notificación de cambios y tu derecho de oposición. Si no lo aceptan por escrito, valora cambiar de proveedor.

¿Cómo compruebo dónde se alojan los datos realmente?

Pídelo por escrito en el contrato o anexo: país de alojamiento y país de las copias de seguridad. Además, solicita que indiquen si existe acceso desde fuera del EEE por soporte o administración. Si la respuesta es vaga, insiste hasta que sea verificable.

¿El contrato vale si lo firma mi gestoría por mí?

Solo vale si quien firma tiene poderes o autorización suficiente de la clínica para contratar y dar instrucciones al encargado. Confirma internamente quién puede firmar y guarda evidencia de esa representación. Si hay dudas, firma desde la gerencia o administración con poder.

Este artículo es informativo y no es asesoramiento legal ni fiscal. Consulta con tu asesor antes de tomar una decisión.

Enlaces externos

• ¿Qué debe contener un contrato de tratamiento de datos personales? | Empresas | INCIBE
• contrato, el encargado del tratamiento
• Responsable o encargado del tratamiento de datos | Data protection guide for small business | European Data Protection Board
• ¿Cómo sé si soy un responsable o un encargado del tratamiento? | AEPD
• 2.8.- RESPONSABLE Y ENCARGADO DEL TRATAMIENTO | AEPD
• El RGPD
• Si hay transferencia internacional, debe estar cubierta por los mecanismos del RGPD
• Las medidas de seguridad deben ser adecuadas al riesgo, y en sanidad el listón sube porque hablamos de datos de salud (categorías especiales). La AEPD
• Cuando hay una brecha (pérdida, acceso indebido, ransomware), la clínica necesita dos cosas: enterarse rápido y poder actuar. El RGPD
• Tienes que firmarlo antes de que el proveedor acceda o aloje datos personales por cuenta de la clínica. Si ya está en marcha, regularízalo cuanto antes y documenta la fecha de firma. No lo sustituyen condiciones genéricas si no cubren el contenido exigido por el RGPD