Revisado el · Elaborado por el equipo de ByeFile a partir de los textos oficiales · 2 fuentes oficiales enlazadas
Sí, necesitas un contrato con la empresa de destrucción: actúa como encargada del tratamiento y el art. 28.3 del RGPD exige un contrato que fije el objeto, la duración, los datos y las obligaciones, incluida la supresión o devolución de los datos y de sus copias al terminar el servicio.
Por qué es obligatorio
Cuando una empresa de destrucción recoge tus documentos, accede a datos personales de los que tú eres responsable. Es un encargado del tratamiento y el RGPD exige que la relación conste en un contrato (art. 28.3).
Qué debe incluir el contrato (art. 28.3 RGPD)
Debe fijar el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable. Y debe establecer que el encargado:
| Letra | Obligación del encargado |
|---|---|
| a | Trata los datos solo siguiendo instrucciones documentadas del responsable. |
| b | Garantiza que el personal autorizado se ha comprometido a la confidencialidad. |
| c | Adopta las medidas de seguridad del art. 32. |
| d | Respeta las condiciones para contratar a otro encargado (subencargados). |
| e | Asiste al responsable para atender el ejercicio de derechos de las personas. |
| f | Ayuda al responsable a cumplir las obligaciones de los arts. 32 a 36 (seguridad, brechas, evaluaciones de impacto). |
| g | A elección del responsable, suprime o devuelve todos los datos al terminar el servicio y suprime las copias existentes. |
| h | Facilita la información necesaria y permite auditorías e inspecciones. |
Lista de comprobación antes de firmar
- ¿Describe qué documentos se destruyen y con qué finalidad?
- ¿Indica el método de destrucción y, si procede, el nivel (por ejemplo, DIN 66399)?
- ¿Establece cómo se recoge y se transporta (contenedores cerrados, vehículos, seguimiento)?
- ¿Dice si el proveedor subcontrata alguna fase?
- ¿Compromete al personal a la confidencialidad?
- ¿Prevé un certificado por cada servicio y cuándo se entrega?
- ¿Te permite auditar o inspeccionar al proveedor?
Tus responsabilidades como responsable
- Elegir un encargado que ofrezca garantías suficientes (art. 28.1).
- Poder demostrar que cumples (responsabilidad proactiva, art. 5.2): contrato, certificados y registro.
- Respetar los plazos de conservación antes de ordenar la destrucción.
- Notificar las brechas a la AEPD en 72 horas cuando proceda (art. 33.1).
Preguntas frecuentes
¿Necesito un contrato con la empresa de destrucción?
Sí. Al destruir documentos con datos personales por tu cuenta, la empresa actúa como encargada del tratamiento y el art. 28.3 del RGPD exige un contrato u otro acto jurídico que fije su objeto, duración, tipo de datos y obligaciones.
¿Qué pasa si el proveedor incumple?
Como responsable, tienes que haber elegido un encargado con garantías suficientes (art. 28.1) y puedes responder de las infracciones relacionadas con la seguridad; además, según el art. 28.10 del RGPD, si el encargado decide por su cuenta los fines o medios del tratamiento se le considera responsable (conviene confirmarlo en el texto legal).
¿El certificado de destrucción sustituye al contrato?
No. El certificado acredita cada servicio; el contrato del art. 28 regula la relación completa: instrucciones, confidencialidad, medidas de seguridad, subencargados y supresión o devolución de los datos.
Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.