Ley 21.719 de Protección de Datos Personales: lo que necesitas saber para estar preparado

La calificación de responsable es una cuestión meramente fáctica. Depende de quién decide, en los hechos, los fines y los medios del tratamiento: para qué se usan los datos y cómo. Por eso el contrato no constituye el rol, lo documenta.

Aunque un sujeto obligado tenga todos sus documentos en orden señalando que es encargado, si trata los datos para una finalidad distinta de la instruida, la ley dispone expresamente que se le considerará responsable para todos los efectos legales, con las consecuencias que eso implica.

Resumen: El rol de responsable no lo decide el contrato, lo decide quién toma las decisiones importantes sobre los datos: para qué se recopilan, con quién se comparten y bajo qué reglas. El que decide eso es el responsable, aunque el contrato diga otra cosa.

Son dos conversaciones distintas. Con proveedores que tratan datos por cuenta de tu empresa, la ley define un contenido mínimo para el contrato de encargo: qué datos recibe, para qué puede usarlos, si puede subcontratar, qué medidas de seguridad aplica y qué ocurre con los datos al terminar la relación.

Con los trabajadores propios no se trata de copiar un DPA al contrato de trabajo: en una relación laboral el consentimiento difícilmente es "libre" por la asimetría entre las partes, así que la tendencia es simplificar los contratos laborales y trasladar el peso a los avisos de privacidad y al reglamento interno.

Resumen: Son dos temas distintos. Con proveedores que tratan tus datos, la ley pide un contrato de encargo con contenido mínimo: qué datos reciben, para qué, qué seguridad aplican, si pueden subcontratar y qué pasa al terminar. Con tus trabajadores no se trata de pedir autorización para todo, el peso se puede ir trasladando a los avisos de privacidad y al reglamento interno apoyados de otras bases de licitud, dejando el consentimiento solo para casos puntuales.

La orden de compra es, finalmente, un contrato. El problema no está en su forma sino en su contenido: casi nunca regula qué se espera de cada parte cuando aparece un problema, como en cuántas horas el proveedor debe avisar un incidente.

Si el proveedor solo presta un servicio sin acceder a datos personales, la orden de compra puede ser suficiente. Pero si la empresa actúa como responsable y contrata a un tercero que va a tratar datos por su cuenta, la orden de compra no basta: ahí se necesita un contrato de encargo con el contenido que exige la ley.

Resumen: Una orden de compra también es un contrato. Si el proveedor no toca datos personales, puede bastar. Pero si trata datos por tu cuenta, la orden no alcanza: necesitas un contrato de encargo. Y cuidado cuando la orden de compra dice "según los términos de referencia" o "según las condiciones generales" y nadie leyó esos documentos: ahí pueden esconderse obligaciones para ambas partes, así que conviene leerlos antes.

Conocer al proveedor no es conocer su reputación comercial: es conocer el tratamiento real que hace de tus datos. Qué datos toca, para qué, dónde los guarda, quién accede, con qué subencargados trabaja, qué seguridad aplica, en cuánto tiempo avisa una brecha y qué hace con la información cuando termina el contrato.

Una forma simple de empezar: tomar los tres a cinco proveedores que más datos de personas tocan y preguntarles por rol y contrato, subproveedores, incidentes y seguridad, y qué pasa con los datos al terminar la relación.

Resumen: Conocer al proveedor es saber qué hace de verdad con tus datos: qué toca, dónde los guarda, quién accede, con qué subcontratistas trabaja, qué seguridad aplica y qué pasa al terminar el contrato.