Contrato de encargo del tratamiento (AVV): cuándo lo necesita y qué debe incluir

Un contrato de encargo del tratamiento (Auftragsverarbeitungsvertrag, AVV) es obligatorio siempre que un proveedor externo –almacenamiento en la nube, herramienta de newsletter, contabilidad de nóminas, mantenimiento informático o un servicio de IA– trate datos personales por encargo de su empresa (art. 28 RGPD). El contrato debe regular, entre otros aspectos, el objeto y la duración, la naturaleza y la finalidad del tratamiento, las categorías de datos, así como las obligaciones y los derechos de ambas partes (art. 28, apdo. 3). Sin un AVV válido, no deben confiarse datos personales reales a un proveedor.

Por la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es información general y no constituye asesoramiento jurídico ni un modelo de contrato listo para firmar.

¿Qué es un encargado del tratamiento?

Según el art. 4, punto 8 RGPD, un encargado del tratamiento es «la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento». Ejemplos típicos en el día a día empresarial: el proveedor de almacenamiento en la nube, la herramienta de marketing por correo electrónico, la gestoría de nóminas externa, el proveedor informático con acceso de mantenimiento remoto y, cada vez más, también los servicios de IA a los que los empleados transmiten textos con datos personales.

Importante: aunque el proveedor trate técnicamente los datos, su empresa sigue siendo el responsable del tratamiento en sentido jurídico y responde frente a terceros.

¿Cuándo necesita un AVV?

Siempre que encargue a un proveedor externo el tratamiento de datos personales y este actúe para usted siguiendo instrucciones, no bajo su propia responsabilidad para fines propios. Según el art. 28, apdo. 1 RGPD, el responsable solo puede trabajar con encargados que ofrezcan «garantías suficientes» de aplicar medidas técnicas y organizativas apropiadas. La elección del proveedor es, por tanto, en sí misma una decisión de protección de datos, no solo una cuestión de precio.

¿Qué debe contener un AVV? (art. 28, apdo. 3 RGPD)

Esta tabla reproduce la estructura del art. 28, apdo. 3 RGPD y sirve de orientación sobre los puntos que un AVV debe regular. No sustituye la revisión jurídica del texto concreto del contrato por parte de su delegado de protección de datos ni el asesoramiento jurídico.

¿AVV o corresponsabilidad? Una confusión frecuente

No toda colaboración con un socio externo es encargo del tratamiento. Si dos entidades deciden conjuntamente sobre los fines y los medios del tratamiento, se aplica en su lugar el art. 26 RGPD («corresponsables del tratamiento»): una construcción contractual distinta, con sus propias obligaciones de transparencia. Un AVV solo encaja si el proveedor actúa exclusivamente según sus instrucciones y no persigue fines propios. En caso de duda, lo aclara su delegado de protección de datos.

¿Qué ocurre sin un AVV válido?

Las infracciones de las obligaciones de los responsables y de los encargados del tratamiento conforme a los artículos 8, 11, 25 a 39, 42 y 43 RGPD —y, con ello, también del art. 28— pueden sancionarse con multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, la cuantía que sea más alta (art. 83, apdo. 4 RGPD). En la práctica, la falta de un AVV significa además que la transmisión de datos al proveedor puede ser ilícita en sí misma.

Lista de comprobación: en cinco pasos hacia el AVV

1. Identificar a los proveedores: ¿qué herramientas y proveedores externos tienen acceso a datos personales?
2. Aclarar el papel: ¿encargo del tratamiento (art. 28) o corresponsabilidad (art. 26)?
3. Revisar o solicitar el contrato: ¿ofrece el proveedor ya un AVV (muchos proveedores estándar lo hacen)?
4. Contrastar los contenidos obligatorios: ¿contiene el contrato todos los puntos del art. 28, apdo. 3?
5. Documentar: anotar el AVV en el registro de actividades de tratamiento (art. 30).

El AVV es solo una pieza de la responsabilidad proactiva, más amplia: más información en nuestro artículo Responsabilidad proactiva en el RGPD. Quien quiera además sensibilizar a sus empleados sobre el trato correcto con proveedores externos encontrará exactamente esos fundamentos en nuestra formación básica en RGPD, que se puede reservar en línea.

Preguntas frecuentes (FAQ)

¿Cuándo es obligatorio un AVV?

Siempre que un proveedor externo trate datos personales siguiendo instrucciones y por encargo de su empresa, por ejemplo en servicios de nube, de marketing por correo electrónico o de nóminas (art. 28 RGPD).

¿Qué debe figurar obligatoriamente en un AVV?

Entre otros aspectos, el objeto y la duración del tratamiento, la naturaleza y la finalidad, las categorías de datos afectadas, reglas sobre el sometimiento a instrucciones, la confidencialidad, la seguridad técnica, los subencargados, las obligaciones de asistencia y la supresión al terminar el contrato (art. 28, apdo. 3 RGPD).

¿Bastan las condiciones generales del proveedor como AVV?

Solo si las condiciones generales contienen realmente todos los contenidos obligatorios del art. 28, apdo. 3 RGPD y valen jurídicamente como contrato de encargo del tratamiento. Muchos proveedores serios ofrecen para ello un documento AVV separado, que conviene revisar.

¿Qué hacer si un proveedor no ofrece un AVV?

En ese caso no deben confiársele datos personales reales. O bien se recurre a un proveedor alternativo que ofrezca un AVV, o bien se anonimizan sistemáticamente los datos antes de usarlo.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), art. 4, punto 8, art. 26, art. 28, apdos. 1 y 3, art. 83, apdo. 4 – eur-lex.europa.eu