Contrato de encargado del tratamiento con un proveedor
Para dirección clínica y para asesor jurídico del centro: qué es un encargado del tratamiento según el RGPD, cuándo hace falta contrato con un proveedor de la clínica, los elementos mínimos obligatorios que el artículo 28 exige, cómo se gestionan los subencargados y qué ocurre al finalizar la relación con el proveedor.
La firma del contrato de encargo va antes del inicio del servicio, no después.
1. Qué es un encargado del tratamiento
Este artículo trata el contrato con encargado. El RAT del centro y las obligaciones del propio responsable viven aparte en RAT: cómo lo lleva una clínica sanitaria. Aquí se decide qué exige el RGPD cuando un tercero trata datos por cuenta del centro.
1.1. La figura del artículo 4.8
El RGPD define en su artículo 4.8 al encargado del tratamiento como la persona física o jurídica que trata datos personales por cuenta del responsable. La clave está en «por cuenta»: el encargado sigue instrucciones del responsable y no decide él la finalidad ni los medios esenciales del tratamiento. Cuando el proveedor decide él los fines o los medios, deja de ser encargado y pasa a ser responsable conjunto o responsable independiente, con régimen jurídico distinto.
1.2. Los ejemplos habituales en clínica
Proveedor de software clínico que aloja el expediente, asesoría fiscal que trata los datos administrativos, empresa de destrucción de papel que gestiona el archivo físico, servicio de mensajería que entrega documentación al paciente, servicio de laboratorio externo, cualquier tercero que trate datos del paciente o del equipo por cuenta del centro. Cada uno es encargado y cada uno exige contrato específico.
1.3. Lo que este artículo no cubre
Este artículo no ofrece asesoría jurídica de caso concreto ni sustituye la valoración del asesor jurídico del centro. Cuenta qué exige el RGPD al contrato con encargado y qué elementos son obligatorios; la redacción concreta del contrato con cada proveedor exige asesoramiento cualificado adaptado al servicio específico.
Para directores de clínica
¿Tu clínica todavía gestiona esto de forma manual?
Descubre qué procesos puedes automatizar sin cambiar cómo trabajas, y cuánto tiempo recuperas cada semana.
2. Cuándo hace falta el contrato
El contrato es obligatorio en toda relación en la que un tercero trata datos personales por cuenta de la clínica. La aplicación del criterio exige valoración de cada relación concreta con proveedores para determinar si el proveedor es encargado o si su tratamiento tiene otra naturaleza jurídica.
2.1. Los criterios que identifican al encargado
El tercero trata datos personales que pertenecen al centro como responsable, el tratamiento se realiza por cuenta del centro para prestar un servicio contratado, y el tercero no decide él la finalidad ni los medios esenciales del tratamiento. Cuando los tres criterios se cumplen, la relación es encargo del tratamiento y exige contrato específico.
2.2. Cuando el proveedor no es encargado
Algunas relaciones no son encargo: el prestador de un servicio ancilar que no accede a datos personales de la clínica, el profesional externo que actúa como responsable independiente sobre datos propios generados en su servicio, la relación entre corresponsables cuando dos entidades deciden conjuntamente la finalidad del tratamiento. Cada categoría tiene su propio régimen y confundirlas produce contratos que no cumplen el requisito jurídico correspondiente.
2.3. La revisión del inventario de proveedores
La política del centro identifica todos los proveedores que tratan datos por cuenta del propio centro, verifica que cada uno tiene contrato de encargo firmado y vigente y programa la revisión periódica del inventario. La incorporación de nuevo proveedor exige contrato de encargo firmado antes del inicio del servicio, no después, y ese inventario forma parte del propio despliegue documentado en la auditoría RGPD del centro.
3. Elementos mínimos del contrato
Objeto, duración, categorías, instrucciones, obligaciones. Sin cualquiera, el contrato queda inválido.
El artículo 28.3 del RGPD enumera los elementos mínimos que el contrato con encargado debe contener. La ausencia de cualquiera invalida el contrato y coloca a la clínica en situación de encargo sin cobertura jurídica del propio tercero que trata sus datos.
3.1. El objeto y la duración del tratamiento
Descripción del servicio contratado, categorías de datos tratados, categorías de interesados afectados, finalidad específica del tratamiento por parte del encargado y duración prevista del propio encargo. La generalidad excesiva de estas descripciones invalida el contrato porque no permite acreditar qué se autorizó al encargado y qué no.
3.2. Las instrucciones documentadas del responsable
El encargado trata datos solo siguiendo instrucciones documentadas del responsable. El contrato incorpora las instrucciones concretas o remite a documento anexo con ellas. La ausencia de instrucciones documentadas es incumplimiento estructural que la AEPD identifica con facilidad en cualquier inspección del proveedor o del propio centro.
3.3. Las obligaciones específicas del artículo 28.3
Confidencialidad del personal del encargado, medidas técnicas y organizativas equivalentes a las del responsable, autorización previa para subencargos, asistencia al responsable en el ejercicio de derechos del interesado, asistencia en caso de brecha de seguridad, devolución o destrucción de datos al fin del encargo. Cada obligación se incorpora expresamente al contrato con el detalle correspondiente al servicio concreto contratado.
4. Duración y renovación
El contrato de encargo se firma por duración determinada alineada con la duración del propio servicio contratado. La renovación exige revisión del contenido del contrato para adaptarlo a cambios en el servicio o en la normativa aplicable.
4.1. Duración alineada con el servicio
El contrato de encargo dura mientras dura el servicio del proveedor. Un servicio contratado por dos años exige contrato por dos años; una renovación tácita del servicio principal exige renovación expresa del contrato de encargo si contiene cláusulas de duración concreta que se agotan con la renovación del servicio principal.
4.2. Revisión al renovar
La renovación del contrato es momento adecuado para revisar el contenido y adaptarlo a cambios: nuevos servicios contratados al mismo proveedor, cambios en la normativa aplicable, actualización de medidas técnicas y organizativas, incorporación de nuevos subencargados. La renovación por defecto sin revisión pierde la oportunidad de mantener el contrato al día.
4.3. La caducidad implícita
Un contrato de encargo con duración vencida sin renovación deja al proveedor sin cobertura jurídica del propio encargo. El proveedor sigue prestando el servicio y sigue tratando datos, pero sin base contractual válida. La regularización posterior no repara íntegramente el periodo sin contrato vigente y la política del centro programa la renovación con antelación suficiente al vencimiento.
Demo configurada para tu especialidad
30 minutos con datos reales de tu tipo de clínica. Sin ejemplos genéricos.
5. Subencargados y cadena
El encargado puede contratar a su vez con otros terceros —subencargados— para prestar parte del servicio. La cadena de encargos exige autorización específica del responsable y cumplir con requisitos específicos que la protección de datos exige.
5.1. La autorización general o específica
El contrato de encargo prevé si el encargado puede recurrir a subencargados con autorización general del responsable —lista de subencargados aceptados y política de notificación de cambios— o con autorización específica caso por caso. La autorización general es más ágil operativamente pero exige transparencia sobre la lista actual de subencargados.
5.2. El contrato del subencargado con el encargado
El subencargado firma con el encargado un contrato equivalente al contrato original con el responsable, con las mismas obligaciones y garantías. La cadena se propaga en las mismas condiciones y el encargado sigue siendo responsable ante la clínica por los actos del subencargado. Esta responsabilidad en cadena protege al centro cuando aparecen incidencias en cualquier nivel de la subcontratación.
5.3. La notificación de cambios de subencargado
Cuando la autorización es general, el encargado notifica al responsable cualquier cambio en la lista de subencargados con antelación razonable para que el responsable pueda oponerse si el cambio compromete el nivel de protección acordado. La ausencia de notificación es incumplimiento contractual con consecuencias específicas que el propio contrato prevé.
6. Auditoría del encargado
El contrato incorpora el derecho del responsable a auditar al encargado para verificar que cumple las obligaciones asumidas. La auditoría se ejerce con las condiciones específicas que el propio contrato establece.
6.1. Modalidades de auditoría
Auditoría documental —revisión de la documentación que el encargado aporta—, auditoría por tercero cualificado —contratación de auditor independiente que revise las medidas del encargado— o auditoría directa por el propio responsable con visita a las instalaciones del encargado cuando el servicio y el volumen lo justifican. Cada modalidad tiene su coste y su alcance específico.
6.2. La periodicidad razonable
La auditoría periódica anual es la práctica habitual en encargos con volumen relevante de datos o con especial sensibilidad del tratamiento contratado. Encargos con menor volumen o menor sensibilidad pueden admitir auditoría bienal o incluso menos frecuente. La periodicidad se acuerda en el contrato y se aplica sistemáticamente sin depender de la aparición de incidencias.
6.3. La documentación resultante
La auditoría produce documento con hallazgos, recomendaciones y plazo de subsanación cuando aplica. El seguimiento de las recomendaciones y la verificación de las subsanaciones son parte del propio proceso de auditoría y quedan reflejados en el expediente del encargado que el centro conserva.
7. Fin del encargo
Al finalizar la relación con el encargado —por vencimiento del contrato, por resolución anticipada, por cambio de proveedor— la clínica y el encargado ejecutan el circuito de cierre que el propio contrato establece.
7.1. La devolución o destrucción de los datos
El encargado devuelve al responsable todos los datos personales tratados por cuenta del centro y destruye las copias existentes, salvo obligación legal específica de conservación posterior. La devolución se produce en formato estructurado que permita al responsable seguir utilizando los datos sin dependencia del encargado saliente.
7.2. La certificación de la destrucción
El encargado certifica por escrito la destrucción efectiva de las copias, con la fecha y el detalle del proceso ejecutado. La certificación se incorpora al expediente del encargado que la clínica conserva como evidencia del cumplimiento del cierre del encargo.
7.3. La transición al nuevo proveedor
Cuando el fin del encargo se produce por cambio de proveedor, la transición al nuevo exige coordinación entre encargado saliente y encargado entrante con supervisión del responsable. La política del centro anticipa la transición para evitar interrupciones del servicio y pérdida de datos durante el proceso, tratado en portabilidad de la historia clínica desde el punto de vista del paciente.
8. Sanción por no tenerlo
El encargado devuelve datos, destruye copias y certifica por escrito. El expediente conserva la evidencia.
La ausencia de contrato de encargo cuando era obligatorio es infracción autónoma del artículo 28 del RGPD sancionable con arreglo al régimen del artículo 83. La AEPD la persigue con relativa frecuencia porque aparece con facilidad en cualquier inspección del propio centro o del encargado implicado.
8.1. Cuantía de la sanción
El artículo 83 clasifica las infracciones sobre contratos con encargados dentro de los supuestos con cuantías que pueden alcanzar el dos por ciento del volumen anual global de negocio o diez millones de euros, la mayor de ambas. La cuantía concreta se pondera con las circunstancias del caso: gravedad, duración, medidas adoptadas, cooperación con la Agencia.
8.2. La responsabilidad compartida entre centro y proveedor
La ausencia de contrato afecta tanto al responsable —la clínica— como al encargado —el proveedor—. Ambos pueden ser sancionados en el mismo procedimiento y cada uno responde por su parte de incumplimiento. La existencia del contrato es la primera línea de defensa de ambos, y su ausencia deja a las dos partes expuestas ante cualquier reclamación posterior por incidente vinculado al servicio contratado.
8.3. La regularización posterior
Firmar el contrato de encargo cuando ya se detecta su ausencia por inspección de la AEPD no repara íntegramente el periodo sin contrato vigente. La regularización puede considerarse en la ponderación de la sanción como medida correctora, pero no exime de la infracción cometida durante el periodo previo. La política preventiva —contratos firmados desde el inicio del servicio— es siempre más eficaz que la regularización reactiva, tratado también en sanciones de la AEPD a clínicas sanitarias.
9. Qué aporta obeliOmed
El contrato de encargo del tratamiento entre la clínica y su proveedor de sistema clínico es responsabilidad de ambas partes. Lo que obeliOmed ofrece como encargado del tratamiento del centro es contrato firmado con los elementos que el artículo 28 exige, con las cláusulas específicas del servicio concreto y con las medidas técnicas y organizativas que la protección de los datos sanitarios requiere.
9.1. Contrato específico con las cláusulas del artículo 28
obeliOmed firma con cada centro cliente un contrato de encargado del tratamiento que incorpora los elementos que el artículo 28 del RGPD exige, con las cláusulas específicas del servicio prestado, la duración alineada con la vigencia del propio servicio contratado, la política de subencargados con notificación de cambios, y las obligaciones específicas de asistencia al centro en el ejercicio de derechos del interesado y en la respuesta a incidentes de seguridad. La responsabilidad de decidir el detalle concreto del contrato sigue siendo compartida entre ambas partes con asesoramiento cualificado; lo que el proveedor aporta es no dejar a la clínica sin contrato firmado desde el inicio del servicio, con la cobertura jurídica que el propio encargo exige.
9.2. Con qué se combina
El contrato de encargo forma parte del despliegue del RGPD del centro, sostenido por el pilar del cumplimiento en RGPD en clínicas privadas.
10. Preguntas frecuentes sobre el contrato de encargado
¿Qué proveedores exigen contrato de encargado?
Todo proveedor que trata datos personales por cuenta de la clínica. Los ejemplos habituales en el sector incluyen proveedor de software clínico que aloja el expediente, asesoría fiscal que trata datos administrativos, empresa de destrucción de papel que gestiona el archivo físico, servicio de mensajería que entrega documentación al paciente, servicio de laboratorio externo cuando trata datos por cuenta del centro y no como responsable independiente, y cualquier tercero que trate datos del paciente o del equipo por cuenta del centro. La política del centro identifica todos los proveedores en un inventario específico y verifica que cada uno tiene contrato de encargo firmado y vigente. La revisión periódica del inventario detecta proveedores incorporados sin contrato firmado y proveedores con contrato vencido no renovado, ambas situaciones que exigen regularización inmediata. La incorporación de nuevo proveedor exige contrato de encargo firmado antes del inicio del servicio, no después, para evitar el periodo sin cobertura jurídica que la regularización posterior no repara íntegramente.
¿El proveedor puede subcontratar a otro?
Sí, con autorización previa del responsable. El contrato de encargo prevé si el encargado puede recurrir a subencargados con autorización general del responsable —lista de subencargados aceptados y política de notificación de cambios— o con autorización específica caso por caso. La autorización general es más ágil operativamente pero exige transparencia sobre la lista actual de subencargados y notificación al responsable de cualquier cambio con antelación razonable para que el responsable pueda oponerse si el cambio compromete el nivel de protección acordado. El subencargado firma con el encargado un contrato equivalente al contrato original con el responsable, con las mismas obligaciones y garantías. La cadena se propaga en las mismas condiciones y el encargado sigue siendo responsable ante la clínica por los actos del subencargado, con lo que la responsabilidad en cadena protege al centro cuando aparecen incidencias en cualquier nivel de la subcontratación.
¿Cuánto dura el contrato de encargo?
Mientras dura el servicio del proveedor. El contrato de encargo se firma por duración determinada alineada con la duración del propio servicio contratado. Un servicio contratado por dos años exige contrato por dos años; una renovación tácita del servicio principal exige renovación expresa del contrato de encargo si contiene cláusulas de duración concreta que se agotan con la renovación del servicio principal. La renovación es momento adecuado para revisar el contenido y adaptarlo a cambios: nuevos servicios contratados al mismo proveedor, cambios en la normativa aplicable, actualización de medidas técnicas y organizativas, incorporación de nuevos subencargados. La renovación por defecto sin revisión pierde la oportunidad de mantener el contrato al día. Un contrato de encargo con duración vencida sin renovación deja al proveedor sin cobertura jurídica del propio encargo, y la política del centro programa la renovación con antelación suficiente al vencimiento para evitar el periodo sin contrato vigente.
¿Qué pasa al cambiar de proveedor?
El proveedor saliente devuelve al centro todos los datos personales tratados por cuenta del centro y destruye las copias existentes, salvo obligación legal específica de conservación posterior. La devolución se produce en formato estructurado que permita al responsable seguir utilizando los datos sin dependencia del encargado saliente. El encargado certifica por escrito la destrucción efectiva de las copias, con la fecha y el detalle del proceso ejecutado. La certificación se incorpora al expediente del encargado que la clínica conserva como evidencia del cumplimiento del cierre del encargo. Cuando el cambio implica transición al nuevo proveedor, la coordinación entre encargado saliente y encargado entrante requiere supervisión del responsable para evitar interrupciones del servicio y pérdida de datos durante el proceso. La política del centro anticipa la transición con antelación razonable al vencimiento del contrato con el proveedor saliente, y planifica la operación con el nuevo proveedor antes del inicio efectivo del cambio.
¿Puedo auditar a mi proveedor?
Sí. El contrato incorpora el derecho del responsable a auditar al encargado para verificar que cumple las obligaciones asumidas, con las condiciones específicas que el propio contrato establece. Las modalidades habituales son auditoría documental —revisión de la documentación que el encargado aporta—, auditoría por tercero cualificado —contratación de auditor independiente que revise las medidas del encargado— o auditoría directa por el propio responsable con visita a las instalaciones del encargado cuando el servicio y el volumen lo justifican. Cada modalidad tiene su coste y su alcance específico. La periodicidad anual es la práctica habitual en encargos con volumen relevante de datos o con especial sensibilidad del tratamiento contratado; encargos con menor volumen pueden admitir auditoría bienal. La auditoría produce documento con hallazgos, recomendaciones y plazo de subsanación cuando aplica, y el seguimiento de las recomendaciones y la verificación de las subsanaciones son parte del propio proceso.
¿La AEPD verifica que tengo el contrato firmado?
Sí, en cualquier inspección. El contrato de encargo con cada proveedor es uno de los documentos que la AEPD pide en toda revisión del cumplimiento del RGPD por parte del centro. La ausencia de contrato cuando era obligatorio es infracción autónoma del artículo 28 sancionable con arreglo al régimen del artículo 83, con cuantías que pueden alcanzar el dos por ciento del volumen anual global de negocio o diez millones de euros, la mayor de ambas. La ausencia de contrato afecta tanto al responsable —la clínica— como al encargado —el proveedor—, y ambos pueden ser sancionados en el mismo procedimiento. La política del centro mantiene inventario actualizado de proveedores con contrato firmado y vigente, con verificación periódica de que ningún proveedor está tratando datos sin cobertura contractual. La regularización posterior tras detección de ausencia en inspección no repara íntegramente el periodo sin contrato vigente y solo se considera en la ponderación de la sanción como medida correctora.
¿Vale un contrato genérico o exige uno específico?
El contrato tiene que ser específico del servicio concreto contratado. El artículo 28.3 del RGPD exige elementos concretos —objeto y duración del tratamiento, categorías de datos e interesados, finalidad específica, instrucciones documentadas del responsable, obligaciones específicas del encargado— que no admiten redacción genérica aplicable por igual a cualquier proveedor. Un contrato genérico rellenado con datos de la clínica pero sin detallar el servicio concreto del proveedor específico no cumple el requisito y puede considerarse contrato ausente a efectos jurídicos. La adaptación del contrato al servicio concreto exige asesoramiento cualificado que valora las particularidades del tratamiento contratado y las medidas técnicas y organizativas correspondientes al perfil del propio proveedor. Los proveedores serios en el sector aportan modelo específico de contrato adaptado al servicio que prestan, con las cláusulas del artículo 28 desarrolladas y con la política de subencargos declarada expresamente.
¿El contrato se firma antes o después de empezar el servicio?
Antes, siempre. La incorporación de nuevo proveedor exige contrato de encargo firmado antes del inicio del servicio, no después. Iniciar el servicio sin contrato firmado deja al proveedor tratando datos sin cobertura jurídica del propio encargo, y la regularización posterior no repara íntegramente el periodo sin contrato vigente. La política preventiva del centro incorpora la firma del contrato de encargo como paso obligado del alta del proveedor, con verificación explícita antes de que el proveedor acceda a los datos del centro. En la práctica, muchos servicios sanitarios se ponen en marcha con presión de tiempo y el contrato se firma después «por urgencia», con lo que aparece la ventana sin cobertura que la AEPD detecta después. La disciplina de firmar antes es lo que separa a los centros con cumplimiento sistemático de los que tienen que regularizar cuando llega la inspección. La política escrita del centro sobre el proceso de alta de proveedores es la que sostiene esta disciplina en el día a día.
Pide una demo de obeliOmed
Sin permanencia · Demo personalizada para tu especialidad · Te respondemos en menos de 24 horas.
Más sobre documentación legal
Consentimiento informado digital en oftalmología: firma biométrica sin papel
Cómo gestionar el consentimiento informado con firma biométrica: qué validez legal tiene, qué datos captura y cómo se…
Leer artículo →
La huella de un documento firmado: sello de tiempo y verificación
Qué es la huella de un documento firmado, cómo funciona el sello de tiempo cualificado y cómo se…
Leer artículo →
Consentimiento informado de cirugía de cataratas: los elementos obligatorios
Qué debe contener por Ley 41/2002 el consentimiento de una cirugía de cataratas, cómo se recoge la firma…
Leer artículo →Información adicional
- Reglamento (UE) 2016/679 (RGPD) — artículo 28 sobre encargado del tratamiento.
- Agencia Española de Protección de Datos (AEPD) — guías y modelo orientativo de contrato de encargo.
- RGPD en clínicas privadas: las 7 obligaciones concretas
- RAT: cómo lo lleva una clínica sanitaria
- Portabilidad de la historia clínica
- Sanciones de la AEPD a clínicas sanitarias
Última actualización: agosto de 2026.
