Contrato de cesión de datos personales a un tercero

El contrato de cesión o comunicación de datos personales sirve para regular la entrega de datos personales por parte del responsable del tratamiento (cedente) a un tercero (cesionario). Es preciso que los datos que se ceden se hayan obtenido de una manera adecuada siguiente las obligaciones que exigen el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales (LOPDGDD). Además, es fundamental haber obtenido el consentimiento previo del interesado para la cesión a un tercero de los datos personales.

¿Qué significa "tratar datos personales"?

Toda persona u organización que obtenga datos personales total o parcialmente automatizados, deberá tratar dichos datos personales. El tratamiento incluye una gama amplia de operaciones como por ejemplo: la obtención, registro, cesión, comunicación, organización, conservación, modificación, consulta, utilización, limitación, supresión o destrucción de datos personales, entre otros.

En todo caso, el responsable del tratamiento deberá tratar los datos personales de manera lícita y transparente, debiéndose haber obtenido cada uno de ellos con el consentimiento expreso e inequívoco del interesado. Además, el responsable del tratamiento deberá asegurarse que se aplican medidas de seguridad adecuadas para que dichos datos no sean accesibles a terceras personas.

Con la entrada en vigor del Reglamento General de Protección de Datos (RGPD), los responsables y/o encargados de datos tienen la obligación de mantener un Registro de Actividades de Tratamiento (RAT), que sustituye la anterior obligación de comunicar a las autoridades de control la existencia de "ficheros" de tratamiento de datos personales. El RAT es un documento en el que se incluye información pormenorizada acerca de los datos personales que tiene una persona u organización (de los trabajadores, alumnos, clientes, pacientes, etc) y que son objeto de su tratamiento. Las informaciones que se pueden encontrar son: las personas físicas o jurídicas a las que van destinadas dichos datos, los plazos de supresión, y el fin que persigue su tratamiento.

El Registro de Actividad de Tratamiento está íntimamente relacionado con el Libro registro de incidencias en el tratamiento de datos personales ya que este último se debe elaborar como anexo del primero. En otras palabras, el Registro de Actividad de Tratamiento de cualquier persona u organización que trate datos personales debe contener como anexo un Libro Registro de Incidencias en el cual se incluyan todas aquellas incidencias que afectan a datos de carácter personal (error o fallo de funcionamiento del sistema de información que pueden ocasionar que terceras personas tengan acceso a la información personal que se encuentra alojada en el sistema).

¿La cesión de datos es lo mismo que el tratamiento/acceso de datos por cuenta de un tercero?

No. En la cesión de datos, el responsable cede los datos personales de un Registro de Actividad de Tratamiento (anteriormente llamado "fichero") a un tercero (el cesionario), previa notificación y consentimiento del interesado, con el objetivo de que el cesionario lo use con una finalidad autónoma, y trabaje por su propia cuenta y riesgo. No obstante, el acceso a datos por cuenta de un tercero conlleva la prestación de un servicio por parte de una tercera empresa al responsable del tratamiento, que accede a los datos personales para el cumplimiento de la prestación contratada. Por tanto, mientras que en la cesión el cesionario tiene poder de decisión sobre los datos personales, en el tratamiento/acceso de datos por cuenta de tercero, la persona que trata los datos únicamente puede utilizarlos para realizar el servicio contratado.

Por ejemplo:

• El acceso de datos personales ocurre cuando la empresa responsable contrata una asesoría laboral que gestiona las nóminas de los trabajadores, o cuando se contrata servicios informáticos, o cuando se contrata a una empresa para una campaña de marketing. En estos casos, ambas partes tendrán que firmar un contrato para el acceso a datos que debe recoger el objeto de la prestación contratada, mencionar que el acceso a los datos personales es necesario para el cumplimiento del objeto contractual, y las obligaciones del encargo del tratamiento.
• La cesión de datos personales ocurre cuando el responsable del tratamiento cede los datos personales a una empresa de publicidad para que a su vez anuncie sus productos. En este caso estaríamos ante una cesión de datos personales, y las partes tendrían que firmar el presente contrato.

Para más información respecto a las diferencias entre la cesión de datos y el acceso de datos por cuenta ajena, se recomienda la lectura de la siguiente guía: Diferencias entre el acceso y la cesión de datos personales a terceros.

¿Cómo utilizar este documento?

La persona u organización que sea responsable de los datos personales y desee ceder dichos datos personales a un tercero, tendrá que rellenar el presente contrato. Únicamente se podrán ceder a un tercero aquellos datos especificados en el contrato y que estén contenidos en el Registro de Actividad de Tratamiento. Es imprescindible que antes de realizar la cesión, el cedente cuente por escrito el consentimiento del interesado, tanto para la recogida de sus datos personales como para su tratamiento y cesión. Si no se cuenta con el consentimiento, se podría incurrir en una infracción grave.

A través de este contrato se cumplirá con todas las exigencias legales, incluyéndose en él, lo siguiente:

• El nombre y los datos de contacto del responsable del tratamiento de datos (cedente);
  
• El nombre y los datos de contacto del cesionario;
• Nombre del Registro de Actividad de Tratamiento (lo que antes se conocía como "fichero");
• Las categorías y los datos que se ceden;
• La duración de la cesión;
• La forma de tratamiento de los datos que se ceden;
• Las medidas de seguridad a las que estará obligada a aplicar el cesionario.

Una vez cedidos los datos a un tercero, el cedente deberá comprobar que los datos no serán utilizados con fines distintos a los determinados en el contrato ni se comunican a otras personas.

Una vez cumplimentado el documento con las informaciones necesarias, el contrato debe ser firmado por las partes o, en su caso, por sus representantes, que deberán exhibir la autorización, o en su caso poder notarial, que les habilita a ello en el momento de la firma. El contrato debe ser firmado al menos en dos ejemplares, para que cada una de las partes conserve una copia.

Legislación aplicable

Al contrato de cesión de datos personales le es aplicable el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Ayuda de un abogado

También tienes la opción de consultar a un abogado si necesitas ayuda.

El abogado puede contestar a tus preguntas o ayudarte en tus trámites. Al final de la creación del documento, se te ofrecerá esta opción.

¿Cómo modificar el modelo?

Rellenas un formulario. El documento se va redactando ante tus ojos, en función de tus respuestas.

Al finalizar, lo recibirás en los formatos Word y PDF. Puedes modificarlo y volver a utilizarlo.