En resumen: si un proveedor de TI accede a servidores en los que hay datos personales, por lo general hace falta un contrato de encargo del tratamiento conforme al art. 28 del RGPD. Establece que el proveedor actúa solo siguiendo instrucciones, mantiene la confidencialidad, adopta medidas de seguridad adecuadas, incorpora a otros socios solo con autorización y notifica sin dilación las brechas de datos. Firme el contrato antes de que llegue la emergencia. Esta página es información general y no asesoramiento jurídico.
Cuando hay prisa, a menudo falta el contrato
En la semana posterior a PHP2Shell, muchas empresas buscaron ayuda externa con urgencia. Un administrador debía actualizar PHP, una agencia reiniciar los procesos, un equipo forense revisar logs. Para ello, externos obtuvieron acceso a servidores en los que hay cuentas de clientes, pedidos y datos de formularios. La cuestión de sobre qué base de protección de datos se hizo esto se planteó a menudo solo después.
Es comprensible, porque en una emergencia cuenta la rapidez. Pero es evitable. Con algunos preparativos pueden combinarse ambas cosas: ayuda rápida y una base limpia.
Cuándo es necesario un contrato de encargo del tratamiento con el proveedor de TI
Existe encargo del tratamiento cuando un proveedor trata datos personales por encargo y siguiendo instrucciones de un responsable. En los servidores web, a menudo basta para ello la mera posibilidad de acceso: quien trabaja con derechos de root en un servidor puede leer la base de datos con datos de clientes, aunque no pretenda hacerlo.
Situaciones típicas con acceso al servidor son:
- mantenimiento continuo y actualizaciones por una agencia o una casa de sistemas,
- operación del servidor por un proveedor de hosting con servicios gestionados,
- ayuda de emergencia, limpieza y restauración tras un ataque,
- investigación forense con copias de soportes de datos y logs,
- monitorización en la que los datos de log fluyen al proveedor.
También cuentan las intervenciones breves. Una sesión remota con pantalla compartida en la que un técnico solo «echa un vistazo» puede mostrarle datos de clientes. Una exportación de base de datos que se envía por correo para buscar un error es una cesión. Precisamente estas ocasiones transcurren a menudo sin base, porque no se perciben como un proyecto.
Si en el caso concreto existe un encargo del tratamiento u otra configuración, lo valora su delegado de protección de datos. Lo importante es plantear la pregunta antes de conceder accesos.
Qué exige el art. 28 del RGPD en el contrato
El art. 28, apdo. 3 del RGPD cita contenidos obligatorios. Además del objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de interesados, el encargado del tratamiento debe comprometerse, entre otras cosas, a los puntos siguientes. La columna derecha muestra lo que eso significa en la práctica con accesos a servidores.
| Obligación según el art. 28, apdo. 3 | Significado práctico en el acceso al servidor |
|---|---|
| a) Tratamiento solo con instrucciones documentadas | Encargo por escrito, por ejemplo mediante ticket: qué debe hacerse exactamente |
| b) Confidencialidad de las personas empleadas | Solo reciben acceso personas obligadas y conocidas por su nombre |
| c) Medidas conforme al art. 32 | Cuentas personales, autenticación en dos factores, conexiones cifradas |
| d) Condiciones para otros encargados del tratamiento | Socios forenses o de hosting solo con autorización |
| e) Apoyo en los derechos de los interesados | Ayuda cuando el acceso o la supresión afecten al servidor |
| f) Apoyo en los arts. 32 a 36 | Colaboración en seguridad, notificación y evaluación de impacto |
| g) Supresión o devolución tras la conclusión | Las copias, imágenes y exportaciones se suprimen o se devuelven |
| h) Pruebas y verificaciones | Registros de los accesos, información sobre las medidas |
Además, el art. 33, apdo. 2 del RGPD exige que el encargado del tratamiento notifique sin dilación indebida al responsable una brecha de datos de la que tenga conocimiento. En un proveedor que está investigando un servidor comprometido, no es una formalidad: a menudo es el primero en ver indicios de una fuga de datos. El plazo y el resto del proceso de notificación a la autoridad de control los explica Obligación de notificación del RGPD: 72 horas tras el incidente.
Organizar los accesos conforme a la protección de datos
Un contrato de encargo del tratamiento firmado es la base. Si los compromisos se cumplen se decide en la práctica diaria. Estos pasos han dado buen resultado:
- Accesos propios y personales para cada persona del proveedor, nunca cuentas de administrador compartidas. Cómo protegerlos figura en Autenticación en dos factores para accesos de administración.
- Limitar en el tiempo: desactivar los accesos de una intervención tras su conclusión y revisar con regularidad las cuentas permanentes.
- Registrar: grabar los inicios de sesión y los comandos de las cuentas del proveedor, para que siga siendo trazable quién hizo qué.
- Trabajar con minimización de datos: para los análisis, copiar solo los datos necesarios, guardar las copias cifradas y dejar constancia del lugar de almacenamiento y de la fecha de supresión.
- Documentar la conclusión: accesos retirados, copias suprimidas o entregadas, confirmación por escrito.
Una investigación forense genera a menudo imágenes completas de los servidores, con todos los datos de clientes. Regule de antemano dónde están esas imágenes, quién accede a ellas y cuándo se suprimen, sin poner en peligro la conservación de las pruebas.
Firmar el contrato de encargo del tratamiento antes de la emergencia
El mejor momento para el contrato es un día tranquilo. Designe a los proveedores que deban actuar en una emergencia, es decir, proveedor de hosting, agencia y, en su caso, un equipo para la gestión de incidentes y el análisis forense, y firme con ellos los contratos por adelantado. Deje constancia también de qué otros socios puede emplear el proveedor.
Guarde los contratos firmados donde esté el plan de emergencia y anote en la lista de contactos con quién existe un contrato de encargo del tratamiento. Las demás obligaciones de seguridad, como los plazos de actualización y las pruebas, pertenecen al contrato de servicios; más al respecto en Contratos con proveedores de TI: regular con claridad las obligaciones de seguridad. Para todas las cuestiones jurídicas, su delegado de protección de datos y un abogado son los interlocutores adecuados.
¿Cómo ayuda PHP SOS en concreto?
- Antes del primer acceso aclaramos qué datos hay en los sistemas afectados y acordamos el marco con su delegado de protección de datos.
- Trabajamos con accesos personales y registrados y documentamos cada intervención de forma trazable.
- Designamos los socios especializados que incorporaríamos, por ejemplo, para el análisis forense de TI, para que usted pueda decidir de antemano.
- Tras concluir una respuesta a incidentes, confirmamos por escrito la retirada de los accesos y la supresión o entrega de todas las copias.
Conclusión: la protección de datos y la ayuda rápida no se excluyen si la base está establecida de antemano. Un contrato de encargo del tratamiento con los proveedores para el peor caso forma parte de toda preparación para emergencias. Esta página es información general y no asesoramiento jurídico.
Preguntas frecuentes
¿Es todo mantenimiento remoto un encargo del tratamiento?
No automáticamente. Lo decisivo es si el proveedor trata datos personales por encargo o puede acceder a ellos. En servidores web con cuentas de clientes, pedidos o formularios, suele ser así. La clasificación en cada caso concreto la realiza su delegado de protección de datos.
¿Puedo firmar un contrato de encargo del tratamiento aún durante un incidente?
Es posible, pero bajo presión de tiempo suele faltar la calma para una revisión. Es mejor firmar el contrato por adelantado con los proveedores que deban actuar en una emergencia. Así el trabajo puede comenzar de inmediato.
¿Debe informarme el proveedor si advierte una brecha de datos?
Sí. Según el art. 33, apdo. 2 del RGPD, el encargado del tratamiento notifica al responsable sin dilación indebida una violación de la seguridad de los datos personales en cuanto tenga conocimiento de ella. La notificación a la autoridad de control sigue siendo cosa del responsable.
¿Puede el proveedor recurrir a otros socios, por ejemplo para el análisis forense?
Según el art. 28, apdo. 2 del RGPD, solo con la autorización previa por escrito del responsable, que puede concederse de forma específica o general. Con una autorización general, el proveedor debe informar de los cambios para que usted pueda oponerse.