# Contrato de encargado con tu empresa de destrucción

> Qué debe incluir el contrato del art. 28 del RGPD con la empresa que destruye tus documentos: objeto, instrucciones, confidencialidad, subencargados y supresión. Con lista de comprobación.

URL canónica: https://byefile.es/legislacion/contrato-encargado-del-tratamiento/
Última revisión: 2026-10-23

Qué cláusulas debe tener y qué revisar antes de firmar.

**Revisado el 23 de octubre de 2026** · Elaborado por el equipo de ByeFile a partir de los textos oficiales · 2 fuentes oficiales enlazadas

**Sí, necesitas un contrato con la empresa de destrucción:** actúa como encargada del tratamiento y el art. 28.3 del RGPD exige un contrato que fije el objeto, la duración, los datos y las obligaciones, incluida la **supresión o devolución de los datos y de sus copias** al terminar el servicio.

## En esta página

1. [Por qué es obligatorio](#por-que)
2. [Qué debe incluir el contrato (art. 28.3 RGPD)](#contenido)
3. [Lista de comprobación antes de firmar](#checklist)
4. [Tus responsabilidades como responsable](#responsabilidad)

## Por qué es obligatorio

Cuando una empresa de destrucción recoge tus documentos, accede a datos personales de los que tú eres responsable. Es un **encargado del tratamiento** y el RGPD exige que la relación conste en un contrato (art. 28.3).

## Qué debe incluir el contrato (art. 28.3 RGPD)

Debe fijar el **objeto, la duración, la naturaleza y la finalidad del tratamiento**, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable. Y debe establecer que el encargado:

| Letra | Obligación del encargado |
| --- | --- |
| a | Trata los datos solo siguiendo instrucciones documentadas del responsable. |
| b | Garantiza que el personal autorizado se ha comprometido a la confidencialidad. |
| c | Adopta las medidas de seguridad del art. 32. |
| d | Respeta las condiciones para contratar a otro encargado (subencargados). |
| e | Asiste al responsable para atender el ejercicio de derechos de las personas. |
| f | Ayuda al responsable a cumplir las obligaciones de los arts. 32 a 36 (seguridad, brechas, evaluaciones de impacto). |
| g | A elección del responsable, suprime o devuelve todos los datos al terminar el servicio y suprime las copias existentes. |
| h | Facilita la información necesaria y permite auditorías e inspecciones. |

## Lista de comprobación antes de firmar

- ¿Describe qué documentos se destruyen y con qué finalidad?
- ¿Indica el método de destrucción y, si procede, el nivel (por ejemplo, DIN 66399)?
- ¿Establece cómo se recoge y se transporta (contenedores cerrados, vehículos, seguimiento)?
- ¿Dice si el proveedor subcontrata alguna fase?
- ¿Compromete al personal a la confidencialidad?
- ¿Prevé un certificado por cada servicio y cuándo se entrega?
- ¿Te permite auditar o inspeccionar al proveedor?

## Tus responsabilidades como responsable

- **Elegir un encargado que ofrezca garantías suficientes** (art. 28.1).
- **Poder demostrar** que cumples (responsabilidad proactiva, art. 5.2): contrato, certificados y registro.
- **Respetar los plazos de conservación** antes de ordenar la destrucción.
- **Notificar las brechas** a la AEPD en 72 horas cuando proceda (art. 33.1).

## Preguntas frecuentes

Sí. Al destruir documentos con datos personales por tu cuenta, la empresa actúa como encargada del tratamiento y el art. 28.3 del RGPD exige un contrato u otro acto jurídico que fije su objeto, duración, tipo de datos y obligaciones.

Como responsable, tienes que haber elegido un encargado con garantías suficientes (art. 28.1) y puedes responder de las infracciones relacionadas con la seguridad; además, según el art. 28.10 del RGPD, si el encargado decide por su cuenta los fines o medios del tratamiento se le considera responsable (conviene confirmarlo en el texto legal).

No. El certificado acredita cada servicio; el contrato del art. 28 regula la relación completa: instrucciones, confidencialidad, medidas de seguridad, subencargados y supresión o devolución de los datos.

## Sigue leyendo

- [Qué debe incluir el certificado de destrucción](https://byefile.es/certificado-de-destruccion/)
- [UNE-EN 15713](https://byefile.es/legislacion/une-en-15713/)

## Fuentes oficiales

- [Reglamento (UE) 2016/679 (RGPD), DOUE L 119](https://www.boe.es/doue/2016/119/L00001-00088.pdf)
- [Ley Orgánica 3/2018 (LOPDGDD), texto consolidado](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673)

Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.