Encargado de tratamiento: qué exigirle a tus proveedores

Un encargado de tratamiento es el proveedor que trata datos personales por cuenta de tu empresa: el CRM donde viven tus contactos, la agencia que sube tu base a Meta, el hosting de tu sitio, el contador que hace las remuneraciones. Con la Ley 21.719, que rige desde el 1 de diciembre de 2026, esa relación tiene que estar regulada por un contrato con los contenidos mínimos que fija la ley.

El problema es que casi ninguna empresa tiene ese contrato: con suerte, una cotización aceptada por correo y términos de software aceptados con un clic hace años. La ley no te pide desconfiar de tus proveedores; te pide poder mostrar qué les encargaste y en qué condiciones.

La idea en simple

• Tu empresa es la responsable: decide para qué se usan los datos. El proveedor es el encargado: los trata siguiendo tus instrucciones.
• La relación se rige por un contrato que dice qué datos, para qué, por cuánto tiempo y con qué obligaciones.
• El proveedor no puede usar tus datos para otra cosa ni pasárselos a un tercero sin tu autorización expresa.
• Al terminar el servicio, debe borrar o devolver los datos.

Lo que la ley exige que diga el contrato

El artículo 15 bis, en el texto que fija la Ley 21.719, dice que el contrato con cada encargado debe establecer:

1. El objeto del encargo y su duración.
2. La finalidad del tratamiento.
3. El tipo de datos personales que trata.
4. Las categorías de personas a las que pertenecen esos datos: clientes, prospectos, trabajadores.
5. Los derechos y obligaciones de cada parte.

La misma norma le impone al encargado cuatro deberes que conviene dejar escritos: guardar confidencialidad, aplicar medidas de seguridad adecuadas al riesgo, avisarte si sufre una vulneración de seguridad y no subcontratar el trabajo sin una autorización específica y por escrito tuya. La Agencia de Protección de Datos Personales tiene el mandato de publicar modelos tipo de estos contratos en su sitio.

Qué pasa si el proveedor se sale del encargo

Si el encargado usa tus datos para otro fin, o los cede sin tu autorización, la ley pasa a considerarlo responsable para todos los efectos: responde personalmente por sus infracciones y de forma solidaria contigo por los daños. Eso no te libera a ti: lo más probable es que la persona afectada reclame primero ante la empresa con la que tuvo la relación, y vas a tener que mostrar qué instrucciones le diste a tu proveedor.

Qué pedirle a cada proveedor

Agencia de marketing. Que el contrato diga a qué bases accede, para qué campañas, y que no puede usar tus contactos para otros clientes ni guardarlos al terminar. Pregunta quiénes de la agencia tienen acceso a tu CRM y a tus cuentas publicitarias. Si cambiaste de agencia el último año, verifica que la anterior ya no tenga accesos. Para elegir la próxima, estas siete preguntas sirven igual.

CRM y plataformas de correo. Aquí no vas a negociar el contrato: los grandes proveedores tienen un anexo estándar de tratamiento de datos. Tu trabajo es encontrarlo, leer qué dice, guardar una copia con fecha y revisar en qué país están los servidores. Si los datos salen de Chile, la ley pide que el país de destino tenga un nivel adecuado de protección o que existan garantías, como cláusulas contractuales. La Agencia publicará la lista de países adecuados y cláusulas modelo.

Hosting y desarrollador web. Que el contrato cubra los respaldos, quién tiene claves del servidor y de la base de datos de los formularios, y en cuánto tiempo te avisan de un incidente. La ley exige que el aviso llegue; el plazo concreto conviene ponerlo tú en el contrato.

Contador o empresa de remuneraciones. Maneja datos de tus trabajadores, y algunos son sensibles: licencias médicas, descuentos de cuota sindical. Pide confidencialidad expresa, saber dónde guarda las liquidaciones y qué hace con esa información cuando termina el servicio.

El inventario que nadie tiene

Antes de pedir contratos, haz la lista: revisa el último mes de pagos a proveedores y marca los que tocan datos de personas. Siempre aparecen herramientas olvidadas: encuestas, firma electrónica, el chat del sitio.

Cómo saber si te pasa

Responde esto con tu equipo:

• ¿Tienes la lista completa de proveedores que acceden a datos de personas?
• ¿Con cuántos hay algo firmado que hable de datos personales?
• ¿Sabes en qué país guarda tu información cada uno?
• ¿Algún proveedor con el que ya no trabajas sigue teniendo acceso?

Si la segunda respuesta es "con ninguno", estás como la mayoría. Este es uno de los puntos donde lo jurídico y lo técnico tienen que ir juntos: las cláusulas las redacta y firma MM Abogados, y nosotros revisamos accesos, integraciones y por dónde viaja cada dato. El panorama completo está en la guía de la Ley 21.719. Esto no es asesoría legal; si quieres ordenar tus proveedores con nosotros, así lo trabajamos.