Registro de encargados RGPD para agencias web: modelo práctico

El Reglamento (UE) 2016/679 distingue al responsable del tratamiento, que decide los fines y los medios, del encargado, que trata datos personales por cuenta de aquel. Su cliente, que explota un sitio, una tienda o un boletín, suele ser el responsable. En cuanto usted aloja, administra o respalda ese sitio, trata esos datos para él: la agencia actúa entonces, en general, como encargada. El proveedor de hosting, el de correo o el servicio de copias que usted emplea trabajan a su vez para su cuenta. Son subencargados de la agencia y solo deberían intervenir con la autorización escrita del cliente.

La calificación no se elige a conveniencia. La CNIL recuerda que quien encarga y el proveedor analizan juntos sus papeles, según lo que cada uno hace realmente con los datos. Una agencia que reutiliza los datos de un cliente para sus propias necesidades, por ejemplo su prospección, pasa a ser responsable para ese único uso. La objeción habitual, «eso le toca al proveedor de hosting», olvida que la cadena pasa por usted: el cliente interroga a la agencia, y es ella quien debe saber qué eslabones ha añadido.

El escenario es corriente. El cliente prepara una auditoría, responde a una licitación o rellena el cuestionario de una gran cuenta, y pide los encargados de la agencia con el contrato correspondiente. Sin registro, la agencia reconstruye de memoria: el servidor está en un proveedor, los buzones en otro, la copia en un almacenamiento creado una noche de avería, el DNS en el registrador original. Ese trabajo urgente lleva días y deja huecos. Un registro al día cabe en una hoja común más una hoja por cliente, y se entrega en minutos. También sirve a la propia agencia: el día de una vulnerabilidad o de una fuga, sabe dónde mirar y a quién avisar.

El registro no necesita una herramienta especializada. Una hoja de cálculo compartida, de lectura para los clientes afectados y de escritura para dos personas de la agencia, basta al principio. Mantenga una fila por servicio y por cliente, mejor que una fila por proveedor: el hosting de una cartera de treinta sitios es un solo proveedor, pero treinta ámbitos de datos distintos. Estas son las columnas a prever.

La trampa es listar solo el hosting, porque es lo que se paga cada mes. Sin embargo, un sitio de cliente envía datos a muchos más lugares: la zona DNS, el correo, la copia que usted ha conectado, la herramienta que recibe las alertas, el servicio que retransmite el tráfico, los scripts cargados desde un tercero. Cada uno puede ver direcciones IP, direcciones de correo o el contenido de formularios. La lista siguiente sirve de rejilla inicial; añada lo que contenga su pila.

Un contrato no se firma con los ojos cerrados, ni se reduce a una casilla marcada en un panel de cliente. Para el hosting, el DNS o la copia, compruebe que el documento cubre los siete puntos siguientes. Aquí no citamos ningún artículo de ley: la CNIL publica una guía del encargado y un ejemplo de cláusulas, para leer con su asesor. Si falta un punto, no lo deduzca del silencio del contrato: pídalo por escrito y conserve la respuesta junto a la fila del registro.

Mantenga el registro en dos niveles. Una hoja común describe cada proveedor una sola vez: contrato, ubicación, contacto, lista de sus subencargados. Una hoja por cliente indica qué servicios tocan sus datos y qué ámbito cubren. Cuando un cliente pide su lista, usted extrae sus filas sin reconstruir nada. Fije una revisión a ritmo regular, por ejemplo cada trimestre, y una revisión provocada por cualquier cambio: nuevo proveedor, migración de servidor, nueva extensión que llama a un servicio externo. La auditoría mensual de un VPS de cliente y la prueba de restauración de una copia son buenos momentos para detectar esos desajustes, porque ya mira lo que realmente funciona.

Cada servicio tomado a un actor distinto añade una fila, un contrato que reunir, un contacto que mantener y una lista de subencargados que seguir. Agrupar dominio, hosting y DNS con un mismo proveedor reduce mecánicamente el número de filas y lo que queda por releer. Hay una contrapartida: la dependencia de un único proveedor también se anota en el registro, con la forma de salir si hiciera falta. En ServOrbit.com, las páginas /pourquoi/securite y /pourquoi/infrastructure describen lo que operamos y dónde. No sustituyen a un documento contractual y este artículo no afirma ninguna certificación: para obtener los documentos de un servicio concreto, escriba a [email protected] indicando el ámbito afectado.

Cree la hoja de cálculo con las siete columnas. Rellénela para el cliente cuyos datos sean más sensibles, con los ocho pasos de cartografía. Envíe después una solicitud escrita a cada proveedor cuyo contrato o lista de subencargados falte. Como textos de referencia, apóyese en las fuentes oficiales: la guía del encargado de la CNIL (https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-un-guide-pour-accompagner-les-sous-traitants), su página sobre el encargado (https://www.cnil.fr/fr/qualification-juridique-sous-traitance) y el texto del reglamento en EUR-Lex (https://eur-lex.europa.eu/eli/reg/2016/679/oj). Este artículo es una guía práctica y no constituye asesoramiento jurídico: haga validar sus contratos y calificaciones por un profesional del derecho.