CAMBIOS EN LA GESTIÓN DE PROVEEDORES CON EL RGPD

El Reglamento General de Protección de Datos 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, que será de aplicación efectiva a partir del próximo 25 de mayo, supondrá un cambio muy importante en la gestión de los datos personales de las empresas.

Además de la puesta en marcha de una serie de medidas de seguridad, tanto tecnológicas como procedimentales, el RGPD crea una nueva serie de derechos y obligaciones para los tratantes de datos.

Un aspecto, que si bien no es estrictamente nuevo, si que tendrá mayor consideración a partir de la fecha mencionada, será la relación de las empresas con los proveedores que tratarán datos personales por cuenta de esas empresas.

Con el RGPD, se establecen nuevas exigencias a la hora de establecer relaciones con los proveedores en cuanto a gestión de la privacidad ya sean en procesos de licitación como en contratación directa.

Algunos de los requisitos a tener en cuenta serían:

• Contratos: los proveedores deben tener un contrato escrito (o cualquier otro tipo de acto legal) con los responsables donde se detalle la duración, la naturaleza y el objeto del tratamiento, el tipo y las categorías de datos personales, así como las obligaciones y los derechos del responsable del tratamiento.

• Seguridad de los datos: los proveedores deberán garantizar la implantación de las medidas de seguridad suficientes y las señaladas por el contratista, a fin de que se establezca un marco de seguridad adecuado.

• Control por parte de las autoridades: los encargados de tratamiento, podrán estar sujetos al control por parte de las autoridades de protección de datos (nacionales o europeas) en tanto son responsables de la gestión de datos personales.

• Brechas de seguridad: tendrán la obligación de informar al contratante y al usuario, si es el caso, de las brechas de seguridad que hayan podido sufrir, dentro del plazo legalmente establecido de 72 horas.

• Transferencias internacionales de datos: si el tratamiento de los datos o parte del mismo se va a llevar a cabo por parte del proveedor, fuera del ámbito de la UE, tendrá la obligación de informar del hecho al contratante y reflejarlo en el contrato que les vincule.

• Privacy by default: cualquier tratamiento de datos deberá llevarse a cabo mediante la premisa de Privacy by default, es decir, teniendo en cuenta desde el momento mismo del diseño del tratamiento, los aspectos relacionados con la privacidad. Por tanto, el contratante tendrá que tener en cuenta lo previsto en la normativa relacionada con la privacidad, lo previsto en cuanto la seguridad que los proveedores le puedan ofrecer, valorando bajo su propia responsabilidad, el proveedor más adecuado.

No solamente criterios de precio y servicio han de tenerse en cuenta ahora en el momento de la licitación, sino que también se tendrá que valorar si el proveedor que se selecciona ofrece las garantías que la norma requiere, ya que en caso de no ser así, el contratante se encontrará como único responsable ante una infracción de la LOPD o el RGPD.