Plantilla lista para estudios: nombramiento del encargado del tratamiento de datos

Modelo operativo y lista de comprobación para designar al encargado del tratamiento de datos en el despacho. Indicaciones sobre subencargados, transferencias fuera de la UE y...

5 sept 2026

Plantilla lista para clínicas: designación del encargado del tratamiento de datos

La designación del encargado del tratamiento de datos es obligatoria cuando un proveedor externo trata datos por cuenta del responsable, y debe formalizarse por escrito: así lo impone el art. 28 del RGPD. El documento debe especificar la naturaleza, duración y finalidad del tratamiento, los tipos de datos implicados y las categorías de interesados. Más adelante encontrarás una plantilla operativa lista para adaptar a tu clínica o a tu empresa.

En resumen:
La designación del encargado del tratamiento solo es obligatoria para sujetos externos que traten datos por cuenta del responsable, no para el personal interno autorizado.
El responsable debe identificar, evaluar y formalizar el encargo, verificando que el candidato ofrezca garantías adecuadas de seguridad técnica y organizativa.
El contrato escrito debe incluir la materia, duración, finalidad, categorías de datos e interesados, instrucciones del responsable, medidas de seguridad y modalidades de devolución o supresión de los datos.
Para los subencargados, se requiere una autorización escrita del responsable y el cumplimiento de las normas de información, notificación y responsabilidad contractual, con posibilidad de oponerse a los cambios.
La falta de un contrato formalizado puede acarrear sanciones y dificultades para demostrar la conformidad durante inspecciones o incidentes de seguridad.

Treatbase simplifica la gestión de la clínica. Treatbase reduce las transcripciones manuales y la gestión en papel, ayudando a las clínicas dentales a trabajar con mayor eficiencia.Descubre Treatbase

Índice

Qué es la designación del encargado del tratamiento y cuándo debe realizarse
Quién nombra y quién puede ser nombrado: sujetos y responsabilidades
Elementos esenciales del contrato de encargo de tratamiento: qué incluir y cómo redactarlo
Obligaciones del encargado y garantías a verificar en la fase de designación
Subencargados: cómo gestionar la cadena y el derecho de oposición del responsable
Modelo práctico: esquema de contrato de encargo paso a paso
Casos especiales: transferencias fuera de la UE y tratamientos a gran escala
Lista de verificación operativa antes de formalizar la designación
Riesgos y responsabilidades en caso de designación inexistente o incorrecta
Recursos oficiales para verificar la normativa
Por qué la designación no es solo papel: una perspectiva práctica
Cómo un software de gestión puede simplificar la gestión documental de los datos clínicos
Fuentes

Qué es la designación del encargado del tratamiento y cuándo debe realizarse

El encargado del tratamiento, según el art. 4 del RGPD, es la persona física o jurídica que trata datos personales por cuenta del responsable del tratamiento, siguiendo sus instrucciones. El responsable sigue siendo el decisor: establece los fines y los medios del tratamiento, mientras que el encargado lo ejecuta.

En la práctica diaria de una clínica o de una empresa, la designación se activa cada vez que un sujeto externo accede a datos personales para prestar un servicio. Algunos ejemplos recurrentes:

El proveedor que gestiona la infraestructura en la nube o el software de gestión utilizado
La asesoría o gestoría que elabora las nóminas
La empresa que ofrece el alojamiento (hosting) de la web o de los correos electrónicos
El socio tecnológico que gestiona las copias de seguridad o la seguridad informática

En cambio, no se requiere ninguna designación para el personal interno autorizado para el tratamiento (empleados, colaboradores directos): en ese caso se habla de autorización de tratamiento, no de encargado externo, ya que no existe un tercero ajeno al responsable.

Quién nombra y quién puede ser nombrado: sujetos y responsabilidades

El responsable del tratamiento tiene la obligación de identificar, evaluar y formalizar la designación. No es una decisión que deba tomarse a la ligera: antes de firmar, debe verificar que el candidato ofrezca garantías suficientes en cuanto a medidas técnicas y organizativas, tal como exige el art. 28 apdo. 1 del RGPD.

¿Quién puede recibir el encargo? En la práctica, casi cualquier tipo de entidad:

Personas jurídicas, como empresas de servicios de TI o despachos de asesores
Pequeñas y medianas empresas que ofrecen servicios de externalización
Entidades públicas que tratan datos por cuenta de otras administraciones
Consultores y profesionales autónomos que acceden a datos para realizar un encargo específico

Conviene distinguir claramente dos figuras que suelen confundirse: el encargado externo del tratamiento es un tercero, jurídicamente independiente del responsable, mientras que el personal autorizado interno trabaja bajo la autoridad directa del propio responsable y no requiere un contrato de encargo independiente.

Elementos esenciales del contrato de encargo de tratamiento: qué incluir y cómo redactarlo

El art. 28 apdo. 3 del RGPD detalla con precisión lo que debe contener el contrato escrito. No es una lista opcional: omitir alguno de estos puntos expone el acuerdo a impugnaciones en caso de inspección o de brecha de seguridad.

Objeto, duración y finalidad del tratamiento. Especifica durante cuánto tiempo y con qué fin exacto tratará los datos el encargado, evitando fórmulas genéricas como “para fines comerciales”.
Categorías de datos y de interesados. Detalla si se trata de datos básicos, sensibles o relativos a condenas e infracciones penales, y quiénes son las personas afectadas (empleados, clientes, pacientes).
Instrucciones documentadas del responsable. El encargado solo puede tratar los datos siguiendo las indicaciones escritas del responsable, nunca de forma discrecional.
Medidas técnicas y organizativas. Deben describirse con precisión, no mencionarse de manera imprecisa.
Cláusulas de devolución o supresión de los datos. Al finalizar la prestación, el acuerdo debe establecer qué ocurre con los datos restantes.

Un consejo: evita copiar cláusulas genéricas de plantillas encontradas en internet sin adaptarlas. Una instrucción como “tratar los datos conforme a la normativa vigente” no es suficiente: el CEPD exige instrucciones operativas concretas, verificables en caso de inspección.

Obligaciones del encargado y garantías a verificar en la fase de designación

Antes de firmar, el responsable debe comprobar que el encargado ofrezca garantías suficientes, tal como exige el art. 28 apdo. 1 del RGPD. No basta con una declaración responsable: se necesitan pruebas verificables.

Las medidas técnicas que deben exigirse de forma explícita incluyen:

Cifrado de los datos almacenados y en tránsito
Sistemas de copias de seguridad periódicas con pruebas de restauración
Control de accesos basado en perfiles y registro de actividad (logs)
Formación periódica del personal que trata los datos
Compromisos de confidencialidad firmados por cada colaborador implicado
Un registro de las actividades de tratamiento actualizado

Las directrices del CEPD señalan que el contrato de encargo es el pilar contractual que define el ámbito de las responsabilidades, y recomiendan verificar periódicamente también a los subproveedores que estén por encima del encargado.

Un consejo: incluye en el contrato una cláusula de auditoría que permita el acceso a los registros de actividad y a las pruebas de cifrado. Sin esta posibilidad, verificar las garantías prometidas se convierte en un acto de fe, no en un control real.

Subencargados: cómo gestionar la cadena y el derecho de oposición del responsable

El encargado no puede subcontratar el tratamiento a su antojo. El art. 28, apdos. 2 y 4, exige una autorización previa por escrito del responsable, que puede ser específica (para cada subencargado concreto) o general (válida para una categoría de proveedores).

Incluso con una autorización general, el encargado debe:

Informar al responsable de cualquier cambio previsto en la incorporación o sustitución de otros subencargados
Otorgar un plazo razonable al responsable para que pueda oponerse a dichos cambios, fijado habitualmente en el contrato en 30 días
Imponer al subencargado obligaciones equivalentes a las asumidas en el contrato de encargo principal
Seguir siendo plenamente responsable ante el responsable del tratamiento del cumplimiento de las obligaciones por parte del subencargado

Las cláusulas contractuales deben dejar claro quién responde en caso de infracción por parte del subproveedor: la falta de concreción en este punto es una de las causas más frecuentes de litigio entre responsable y encargado ante un incidente de seguridad.

Modelo práctico: esquema de contrato de encargo paso a paso

Un contrato de encargo de tratamiento bien redactado sigue una estructura habitual que puedes adaptar a tu sector. Este es el índice recomendado:

Exposiciones. Identificación de las partes y referencia al contrato principal de prestación de servicios.
Objeto y duración. Descripción resumida del encargo y de su período de vigidez.
Instrucciones del responsable. Relación detallada de las operaciones de tratamiento autorizadas.
Medidas de seguridad. Remisión a un anexo técnico detallado.
Subencargados. Reglas para la autorización y notificación de subcontrataciones.
Devolución y supresión de datos. Plazos y procedimientos al finalizar la relación contractual.
Anexos obligatorios. Detalle de los tratamientos, medidas técnicas y posibles certificaciones de seguridad.

Un ejemplo real de esta estructura se puede consultar en el acuerdo de designación publicado por el CREA, que contiene cláusulas tipo sobre devolución de datos, auditorías y responsabilidad de los subencargados.

A nivel operativo, la firma puede realizarse mediante firma electrónica cualificada o firma electrónica avanzada, siempre que el sistema conserve una prueba fehaciente de la fecha y de la identidad del firmante. Conserva el documento original junto con los anexos técnicos durante toda la vigencia de la relación contractual, y posteriormente.

Casos especiales: transferencias fuera de la UE y tratamientos a gran escala

Si el encargado transfiere datos fuera del Espacio Económico Europeo, el contrato de encargo por sí solo no basta: es necesario integrarlo con las cláusulas contractuales tipo (CCT) u otras garantías equivalentes reconocidas por la legislación europea.

Para tratamientos a gran escala, o especialmente sensibles, conviene reforzar el acuerdo con elementos adicionales:

Una evaluación de impacto (EIPD) compartida con el proveedor antes de iniciar el servicio
Auditorías periódicas más minuciosas, con comprobación documental de las medidas declaradas
Un seguro de responsabilidad civil para riesgos cibernéticos (ciberseguro) con un límite de cobertura adecuado al riesgo

Como señala ESG360, este tipo de integración es especialmente relevante para proveedores de servicios en la nube y para servicios sanitarios, donde el volumen y la sensibilidad de los datos tratados elevan notablemente el nivel de riesgo en caso de incidente.

Lista de verificación operativa antes de formalizzare la designación

Antes de redactar el documento, recopila toda la información necesaria: evita encontrarte con vacíos de información a mitad del proceso.

Datos de identificación completos del responsable y del encargado (razón social, domicilio social, contacto de privacidad)
Relación detallada de los tratamientos encomendados, con categorías de datos y finalidades específicas
Categorías de interesados afectados (empleados, clientes, pacientes, proveedores)
Documentación de seguridad del proveedor: certificaciones, informes de auditoría, políticas internas
Relación de los subencargados que ya participen en el servicio
Procedimiento previsto para la devolución o supresión de los datos al concluir la relación

Con esta lista lista, la redacción del acuerdo se convierte en una labor de cumplimentación, no de improvisación.

Riesgos y responsabilidades en caso de designación inexistente o incorrecta

La ausencia del contrato escrito no exime a ninguna de las partes de las responsabilidades ya existentes respecto al tratamiento: así lo confirman los comentarios jurídicos sobre el art. 28. En la práctica, tanto el responsable como el encargado pueden verse expuestos a sanciones administrativas y, en algunos casos, a la responsabilidad solidaria frente a los interesados perjudicados.

El verdadero problema surge en caso de brecha de seguridad o de inspección: sin un contrato formalizado, determinar quién debía encargarse de cada medida resulta complejo, y la falta de pruebas documentales agrava la situación de ambas partes. Contar con un seguro de ciberriesgo y realizar auditorías periódicas siguen siendo las medidas más eficaces para mitigar el riesgo.

Recursos oficiales para verificar la normativa

Para profundizar o descargar plantillas, estas fuentes constituyen el punto de referencia más sólido:

El texto del art. 28 del RGPD con comentarios prácticos
Las directrices del CEPD sobre los conceptos de responsable y encargado del tratamiento
El modelo de contrato publicado por el CREA como ejemplo concreto

Por qué la designación no es solo papel: una perspectiva práctica

Un contrato de encargo bien elaborado no sirve únicamente para evitar sanciones: se convierte en la prueba que una clínica puede aportar en caso de auditoría o de inspección de la Agencia de Protección de Datos. Quienes gestionan datos sanitarios encontrarán un gran valor en herramientas que documenten automáticamente los accesos y tratamientos, facilitando la acreditación de las garantías estipuladas en el contrato.

— Matteo

Cómo un software de gestión puede simplificar la gestión documental de los datos clínicos

Un software de gestión puede ser un aliado práctico para una clínica dental que debe demostrar, y no solo declarar, las garantías previstas en el contrato de encargo: cada acceso a los datos de los pacientes puede registrarse automáticamente, sin necesidad de papeles dispersos o carpetas físicas que archivar manualmente.

El software gestiona las historias clínicas de los pacientes con un seguimiento continuo de las actividades, algo especialmente útil cuando el responsable debe demostrar ante la autoridad de control o ante un paciente que las medidas técnicas descritas en el contrato de encargo están plenamente operativas. También la gestión de los pagos sigue este mismo principio: datos sensibles tratados con registros de actividad verificables, no con anotaciones dispersas en diferentes aplicaciones.

Este artículo no constituye asesoramiento jurídico: para la redacción definitiva del contrato de encargo de tratamiento, consulta con un profesional legal especializado en protección de datos. Para ver cómo organiza Treatbase la parte documental de tu actividad diaria, descubre la plataforma y solicita una prueba directa con los datos de tu clínica.