Obligació d’actualitzar els contractes d’encarregat de tractament signats abans del 25-5-2018 a l’article 28 del RGPD i, com a màxim, el dia 25-5-2022.

Totes les organitzacions externalitzen part dels tractaments de dades personals amb organitzacions externes.

Així són exemples d’encàrrecs de tractament quan una organització (el responsable del tractament) contracta amb una altra i, per tant, externalitza (l’encarregat del tractament) serveis com:

• El hosting
  
• La confecció de nòmines
  
• La confecció de la comptabilitat
  
• La videovigilància
  
• La impressió d’etiquetes
  
• La destrucció d’informació confidencial

Doncs bé en tots aquests casos hi pot haver un deure d’actualitzar els contractes d’ET, si aquests es van signar abans del dia 25-5-2018.

La Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals, va regular a la disposició transitòria cinquena que succeïa amb aquells contractes d’encarregat del tractament subscrits abans del dia 25-5-2018 -que era la data dentrada en vigor del reglament 2016/679-.

Aquesta norma assenyala que:

• Els contractes d’encarregat del tractament subscrits amb anterioritat al 25 de maig de 2018 a l’empara del que disposa l’article 12 de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal, mantindran la seva vigència fins a la data de venciment assenyalada en aquests i en cas dhaver-se pactat de forma indefinida, fins al 25 de maig de 2022.
• Durant aquests terminis qualsevol de les parts podrà exigir a l’altra la modificació del contracte a fi que aquest resulti conforme al que disposa l’article 28 del Reglament (UE) 2016/679 i al capítol II del títol V d’aquesta. llei orgànica.

En aquesta línia es pronuncia també l’Agència Espanyola de Protecció de Dades (cliqueu per anar a l’enllaç)

Són vàlids els contractes amb encarregats de tractament anteriors al RGPD?

Els contractes amb encarregats de tractament conclosos amb anterioritat a l’aplicació del RGPD el maig de 2018 s’han de modificar i adaptar per respectar aquest contingut, sense que siguin vàlides les remissions genèriques a l’article de l’RGPD que els regula. Indicar sobre això que la Disposició transitòria segona del Reial decret llei 5/2018, de 27 de juliol, de mesures urgents per a l’adaptació del dret espanyol a la normativa de la Unió Europea en matèria de protecció de dades, diu que “… els contractes d’encarregat del tractament subscrits amb anterioritat al 25 de maig de 2018 a l’empara del que disposa l’article 12 de la Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal, mantindran la seva vigència fins a la data de venciment assenyalada en aquests i en cas d’haver-se pactat de forma indefinida, fins al 25 de maig de 2022…”

Durant aquests terminis qualsevol de les parts podrà exigir a l’altra la modificació del contracte a fi que aquest resulti conforme al que disposa l’article 28 del Reglament (UE) 2016/679.

Per tant, els contractes d’encarregat de tractament signats abans del dia 25-5-2018 s’han de revisar per adaptar-los al reglament 2016/679 i la llei 3/2018 abans del dia 25-5-2022.