Contrato con encargados del tratamiento: cláusulas a revisar bajo la Ley 21.719Contrato con encargados del tratamiento: cláusulas a revisar bajo la Ley 21.719

Desde el 1 de diciembre de 2026, el artículo 15 bis exigirá que el contrato entre responsable y encargado defina, como mínimo, seis elementos: objeto y duración del encargo, finalidad del tratamiento, tipo de datos personales, categorías de titulares y derechos y obligaciones de las partes. Es el punto de partida. El mismo artículo agrega reglas sobre instrucciones, delegación, confidencialidad, seguridad, reporte de vulneraciones y devolución o supresión de datos.

¿Qué debe incluir el contrato con un encargado?

11. Definir el rol antes de copiar cláusulas

No todo proveedor que accede a datos personales es automáticamente un encargado. Un CRM configurado para almacenar contactos, una empresa que procesa remuneraciones o un servicio de soporte pueden actuar por cuenta del cliente. En cambio, si el tercero decide una finalidad propia, reutiliza datos para su producto o recibe una cesión para tratarlos bajo su responsabilidad, la clasificación puede cambiar. Debe revisarse cada flujo, no solo el nombre del contrato.

22. Convertir las instrucciones en límites verificables

El contrato debería conectar la finalidad con operaciones autorizadas, accesos y entornos. También conviene identificar quién puede emitir instrucciones, cómo se registran sus cambios y qué debe hacer el proveedor si una solicitud contradice el encargo. Una frase amplia como “usar la información para prestar y mejorar el servicio” puede ocultar decisiones que corresponden al responsable.

• Operaciones autorizadas: recolectar, consultar, almacenar, respaldar, comunicar o suprimir.
• Personas, perfiles y sistemas que pueden acceder, junto con el criterio para revocar accesos.
• Restricciones sobre combinación de bases, analítica, publicidad, entrenamiento o uso para productos propios.
• Mecanismo para registrar instrucciones nuevas, excepciones y cambios de alcance.
• Evidencia que el proveedor entregará para demostrar controles y responder consultas.

33. Separar la regla legal del control recomendado

El artículo 15 bis no convierte cada detalle operativo en un mínimo textual del contrato. Aun así, dejar plazos, canales y evidencias sin definir puede impedir que el responsable cumpla sus propias obligaciones. La revisión debe distinguir la regla legal de la forma contractual elegida para ejecutarla.

44. Preparar incidentes sin inventar un plazo legal

El encargado debe reportar al responsable una vulneración de las medidas de seguridad, pero el artículo 15 bis no establece un número de horas para ese aviso. El contrato puede fijar un plazo interno exigente según el riesgo y la dependencia del servicio. También debería definir información inicial, actualizaciones, preservación de evidencia y cooperación para que el responsable evalúe si debe reportar a la Agencia o comunicar a titulares conforme al artículo 14 sexies.

55. Resolver la salida antes de terminar el servicio

La devolución o supresión no debería negociarse cuando el contrato ya terminó. La empresa necesita saber si recibirá datos en un formato utilizable, cuánto durará la migración, qué ocurre con respaldos y registros de seguridad, y qué conservación exige otra norma. Formato, plazo, certificación y asistencia de salida son controles recomendados: no forman parte de los seis contenidos enumerados por el artículo 15 bis.

66. Tratar por separado la transferencia internacional

Si el servicio implica enviar o poner datos a disposición de un proveedor o subencargado en otro país, primero corresponde determinar si existe una transferencia internacional. Si existe, deben documentarse el supuesto de licitud del artículo 27 y, cuando proceda, las garantías adecuadas del artículo 28. La ubicación de servidores es una señal útil, pero no reemplaza el análisis del flujo y de las partes que reciben los datos.

77. Convertir cada contrato en un control por proveedor

Para no dejar la revisión como un ejercicio documental, conviene mantener una ficha por proveedor. El resultado no es una declaración general de cumplimiento, sino un registro visible que muestre el rol evaluado, la versión contractual, las brechas abiertas, quién debe resolverlas y qué evidencia existe.

Preguntas frecuentes sobre contratos con encargados