RGPD y externalización offshore: guía práctica para empresas

Externalizar hacia Marruecos, Túnez o Madagascar manteniéndose conforme al RGPD es posible, pero exige una preparación rigurosa. El reglamento europeo de protección de datos se aplica plenamente a los tratamientos realizados fuera de la UE por cuenta de un responsable del tratamiento establecido en Europa. Estos son los pilares que debe verificar antes de firmar un contrato de externalización.

El principio es claro: deslocalizar el tratamiento nunca le exime de las obligaciones del RGPD. El responsable del tratamiento sigue siendo responsable de los datos de sus clientes, se traten donde se traten. La buena noticia es que, con un socio estructurado, garantías apropiadas y una documentación cuidada, la externalización offshore es plenamente compatible con el reglamento.

1. El marco jurídico: ¿decisión de adecuación o no?

La transferencia de datos personales a un tercer país (fuera de la UE) solo es posible en dos supuestos, regulados por el capítulo V del RGPD (artículos 44 a 49). O bien la Comisión Europea ha adoptado una decisión de adecuación que reconoce que el país garantiza un nivel de protección esencialmente equivalente — por ejemplo, Japón, Suiza o Nueva Zelanda. O bien, a falta de ella, la transferencia debe apoyarse en garantías apropiadas.

Marruecos, Túnez y Madagascar no cuentan con decisión de adecuación. Toda transferencia a estos destinos debe basarse en cláusulas contractuales tipo (SCC), normas corporativas vinculantes (BCR) o, en ciertos casos, códigos de conducta y certificaciones. En Altavista360 utilizamos las cláusulas contractuales tipo de la Comisión Europea (SCC 2021), actualizadas tras la sentencia Schrems II del Tribunal de Justicia de la UE. Estas cláusulas se integran en cada contrato de servicio y se complementan con una evaluación de impacto de las transferencias (TIA) cuando la situación local lo exige.

2. El contrato de encargado de tratamiento (artículo 28)

El artículo 28 del RGPD obliga al encargado a tratar los datos personales únicamente según las instrucciones documentadas del responsable. En la práctica, esto se traduce en un contrato de encargado (DPA, Data Processing Agreement) que formaliza: el objeto, la duración, la naturaleza y la finalidad del tratamiento; el tipo de datos y las categorías de interesados; y las obligaciones de seguridad, confidencialidad y cooperación con la autoridad de control.

Este contrato debe prever también las condiciones para recurrir a un eventual subencargado (con autorización previa), las modalidades de asistencia para responder a los derechos de los interesados, y la supresión o devolución de los datos al final del contrato. Sin este artículo 28 correctamente contratado, el proyecto de externalización es jurídicamente frágil.

3. Seguridad, seudonimización y artículo 32

El artículo 32 del RGPD exige la aplicación de medidas técnicas y organizativas adecuadas al riesgo. En un centro offshore, esto se concreta en varios controles complementarios. Los datos de los clientes se transmiten por conexiones cifradas (VPN, TLS). Internamente, los datos se seudonimizan en la medida de lo posible: los agentes ven un identificador de cliente, no el nombre completo. Los accesos se controlan por rol (RBAC) según el principio de mínimo privilegio, y toda consulta queda registrada en un diario de auditoría inmutable.

En el plano organizativo, se suman locales con acceso controlado, prohibición de teléfonos personales y memorias USB, una política de mesa limpia y un procedimiento formalizado de notificación de violación de datos (artículo 33) al responsable del tratamiento. La certificación ISO/IEC 27001 del centro es el estándar de referencia: garantiza que existe un sistema de gestión de la seguridad de la información, auditado.

4. La responsabilidad: ¿quién responde de qué?

En el marco de la externalización, Altavista360 actúa como encargado del tratamientoen el sentido del RGPD. El cliente sigue siendo el responsable del tratamiento y asume la responsabilidad principal frente a los interesados y la autoridad de control. Esta distinción queda claramente formalizada en el contrato: no tomamos ninguna decisión sobre las finalidades y los medios del tratamiento; actuamos según las instrucciones documentadas del cliente.

Esta distribución no exime al encargado: debe poder demostrar su conformidad (principio de responsabilidad proactiva, artículo 5 §2), conservar un registro de las actividades de tratamiento (artículo 30) y cooperar con el responsable. El seguimiento operativo de estas obligaciones es lo que separa a un socio serio de un proveedor cualquiera.

5. Los derechos de los interesados

Los clientes de sus clientes mantienen los mismos derechos RGPD, independientemente del país en que se realice el tratamiento: derecho de acceso, rectificación, supresión, limitación, portabilidad y oposición (artículos 15 a 22). Por ello hemos establecido procedimientos para transmitir y tramitar estas solicitudes dentro de los plazos legales (en principio un mes), incluidos los datos alojados en Marruecos o Túnez. El centro offshore está integrado en el flujo de gestión de derechos, con un punto de contacto designado y un plazo de transmisión contractual.

Sectores que exigen especial vigilancia

No todos los sectores son iguales ante el RGPD offshore. Dos merecen especial atención. La banca y las fintech manejan datos financieros sensibles y están sujetas a obligaciones superpuestas (RGPD, secreto bancario, PSD2, PCI-DSS) que exigen salvaguardas reforzadas. La salud y los seguros de salud tratan datos de salud, considerados una categoría especial de datos (artículo 9 del RGPD) que requiere garantías adicionales y, las más de las veces, una evaluación de impacto (artículo 35).

En estos contextos, suele ser necesaria una evaluación de impacto relativa a la protección de datos (EIPD/DPIA) antes del arranque. Documenta los riesgos para los derechos y libertades de las personas y las medidas adoptadas para mitigarlos. Es un ejercicio que conducimos de buen grado en colaboración con el DPO del cliente.

Las auditorías de conformidad

Antes de cualquier despliegue, auditamos el centro asociado según una rejilla de criterios RGPD: seguridad física y lógica, formación de los agentes, gestión de los derechos de acceso, procedimiento ante violaciones, gestión de los derechos de los interesados, plazos de conservación y registro de actividades de tratamiento. Se entrega al cliente un informe de auditoría. Estos controles se repiten después periódicamente, porque la conformidad es un proceso continuo, no un estado adquirido. Para el contexto más amplio de la externalización en Marruecos, nuestro artículo sobre el destino Marruecos detalla el marco regulatorio y las certificaciones disponibles. Y para asegurar también sus procesos administrativos, consulte nuestra guía sobre la externalización del back-office.