Los contratos de cesión y tratamiento de datos personales

Como empresario o profesional responsable de un fichero con datos de carácter personal de tus clientes o de las personas con las que te relacionas, puedes comunicarlos o cederlos a un tercero.

Pero solo los puedes ceder para una finalidad que tenga que ver con tu actividad legítima o la de la persona o empresa a la que los cedes, utilizando un contrato de cesión de datos personales.

Será necesario en todo caso el consentimiento previo del interesado, que podrás ver en nuestro documento de solicitud de consentimiento para recogida y cesión de datos de carácter personal.

Por ejemplo, cuando se ceden en el ámbito sanitario entre los hospitales y las aseguradoras, en este caso, el asegurado o paciente es cliente de ambos responsables de fichero y en ambos sitios ha consentido esta cesión para una finalidad de facturación.

Existen excepciones, en las que el consentimiento del interesado o del cliente no es necesario:

• en las comunicaciones o cesiones entre órganos de la Administración pública, siempre que las mismas estén autorizadas por una Ley o tengan por objeto la utilización de los datos para fines históricos, estadísticos o científicos
• en la comunicación que tenga como destinatario al Defensor del Pueblo, Ministerio Fiscal, Jueces o Tribunales u órganos de la administración autonómica con funciones análogas

Como empresario y titular de ficheros en los que se contienen datos personales, puedes contratar con un tercero el tratamiento de los mismos, para que los depuren y los preparen para alguna finalidad que tenga que ver con tu actividad, o bien, contratar un servicio para tu empresa en el que un tercero tenga que acceder y tratar los datos pesonales incluidos en tus ficheros, por ej. un servicio de contabilidad, confección de nóminas, envios postales a clientes, etc.

En este caso es necesario que firmes con el encargado de ese tratamiento o con quien te va a prestar el servicio, un contrato para el tratamiento de datos personales por cuenta de un tercero.

No se considera cesión de datos el acceso de un tercero a los datos de clientes que tengas en un fichero cuando dicho acceso sea necesario para que te presten un servicio, por lo que no  es necesario consentimiento de los clientes, pero sí debes cumplir otros requisitos:

• firma de un contrato por ti como responsable del fichero en el que se establezca que la persona que tratará o usará los datos sólo lo hará de acuerdo con tus instrucciones y que no los utilizará ni aplicará con otra finalidad distinta a la que conste en el contrato, ni los comunicará a otras personas

• aplicación de las medidas de seguridad por parte de la persona o empresa que va a realizarte el servicio

• responder y atender a las solicitudes de los clientes o usuarios

• una vez terminado el contrato se deben destruir los datos o devolvértelos, junto con el soporte o documentos donde exista algún dato personal de los clientes, que habían sido cedidos en el contrato

Si tu empresa tiene un fichero de clientes, que utilizas para el envío de publicidad y contratas a otra empresa para que te preste un servicio que no implica tratar datos personales -servicios de limpieza, de seguridad, de mantenimiento de instalaciones, etc., no tienes que ceder tu base de datos​. Sin embargo, para prevenir el riesgo de acceso a algún tipo de dato personal, la ley de protección de datos exige que se firme un documento con la empresa prestadora del servicio en el que se prohíba a ésta acceder a los datos personales y se establezca la obligación de secreto respecto a los mismos.

Si contratas a una persona o empresa para la realización de un servicio para el que es necesario que acceda a los datos personales de los clientes (p.e. la gestoría que accede a datos de tus clientes para llevar la contabilidad), no se produce cesión de datos, ya que esa empresa no utiliza los datos en su propio provecho ni tiene ningún poder de decisión sobre ellos.​ En este caso, los requisitos que deben cumplirse son más rigurosos que en el caso anterior ya que debes firmar un documento con la empresa prestadora del servicio, en el que se indique que ésta sólo puede tratar los datos según tus instrucciones y utilizarlos para los fines indicados en el contrato y en el que se acuerden las medidas de seguridad que debe cumplir. Una vez realizada la prestación del servicio, la empresa que te lo ha prestado debe proceder a la destrucción los datos personales que posea, o a la devolución sin conservar copia alguna.

Si cedes datos personales de los clientes a otra empresa para que ésta envíe publicidad de sus productos, por lo que es necesario el consentimiento previo de los  clientes cuyos datos personales cedes. Así será aunque el destinatario de los datos sea una empresa filial o del mismo grupo ya que, a estos efectos, es una empresa independiente.