RGPD para SaaS: Encargado, Subencargado y Transferencias

El Art. 28(3) RGPD establece que el contrato debe contener: el objeto, la duración, la naturaleza y los fines del tratamiento, el tipo de datos personales, las categorías de interesados, y las obligaciones y derechos del responsable. Además, el encargado debe: garantizar confidencialidad del personal, implementar medidas de seguridad (Art. 32), respetar condiciones para subencargados, asistir al responsable en DPIAs y derechos, devolver o suprimir datos al finalizar, y permitir auditorías.

El Art. 28(2) RGPD establece dos modalidades: autorización previa específica para cada subencargado, o autorización general que permite al encargado recurrir a subencargados siempre que informe al responsable de cualquier cambio (el responsable puede oponerse). El subencargado está sujeto a las mismas obligaciones que el encargado mediante contrato o acto jurídico vinculante (Art. 28(4)). La cadena de subencargados es crítica en entornos cloud y SaaS.

La TIA (Transfer Impact Assessment, Evaluación de Impacto de la Transferencia) es un análisis que debe realizar el responsable o encargado antes de efectuar una transferencia internacional basada en CCT o BCR, para evaluar si el país destino ofrece un nivel de protección esencialmente equivalente al de la UE. Debe considerar la legislación del país tercero (especialmente leyes de vigilancia), las prácticas de las autoridades, y las garantías complementarias (cifrado, pseudonimización). El CEPD emitió recomendaciones específicas en 2020.

El Art. 32 RGPD exige medidas técnicas y organizativas apropiadas al riesgo, incluyendo: pseudonimización y cifrado de datos personales, confidencialidad, integridad, disponibilidad y resiliencia, capacidad de restauración tras un incidente, procedimientos de prueba y evaluación de la eficacia. Las medidas deben adaptarse al riesgo: un SaaS que trata datos de salud requiere medidas más estrictas que uno que trata datos de contacto.

La DPIA (Art. 35 RGPD) es obligatoria para tratamientos de alto riesgo, incluyendo: evaluación sistemática y exhaustiva de aspectos personales, tratamiento a gran escala de categorías especiales de datos (salud, biometría), y observación sistemática a gran escala. En SaaS, la DPIA es habitual si el producto procesa datos de salud, realiza perfiles sistemáticos, o monitoriza el comportamiento de usuarios a gran escala.

El RGPD establece dos niveles: nivel superior (hasta 20 millones de € o el 4% de la facturación global) para incumplimientos de principios básicos, derechos del interesado y transferencias; nivel inferior (hasta 10 millones de € o el 2%) para incumplimientos de obligaciones técnicas, DPO, notificación de brechas y cooperación con la autoridad. La AEPD ha sancionado a Marina Salud con €500.000 (2025) por encargo de subencargado ilícito bajo el Art. 28.

Si el SaaS utiliza proveedores cloud fuera del EEE (AWS US, GCP US, Azure US), debe cumplir las normas de transferencias (Arts. 44-49): decisión de adecuación (Marco UE-EE.UU. 2023), Cláusulas Contractuales Tipo (CCT 2021), Normas Corporativas Vinculantes (BCR), o códigos de conducta/certificaciones. Además, debe realizarse una TIA para verificar que el país ofrece un nivel de protección esencialmente equivalente (Recomendaciones CEPD 01/2020).

La AEPD (Agencia Española de Protección de Datos) es la autoridad de control competente en España. A nivel europeo, el CEPD (Comité Europeo de Protección de Datos) coordina la aplicación entre Estados miembros. La AEPD ha publicado guías específicas para clientes y prestadores de cloud computing, y orientaciones sobre la adecuación al RGPD de tratamientos con IA.