Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales

Artículo 32. Tratamiento a través de subcontratación

32.1 El tratamiento de datos personales puede realizarse por un tercero diferente al encargado del tratamiento, a través de un convenio o contrato entre estos dos.

32.2 Para este supuesto se requiere, de manera previa, una autorización por parte del titular del banco de datos personales o responsable del tratamiento. Dicha autorización se entiende también concedida si estaba prevista en el instrumento jurídico mediante el cual se formalizó la relación entre el responsable del tratamiento y el encargado del mismo.

32.3 El tratamiento que haga el subcontratista se realiza en nombre y por cuenta del responsable del tratamiento, pero la carga de probar la autorización le corresponde al encargado del tratamiento.

Comentario

Regula la posibilidad de que un tercero subcontratista realice tratamiento de datos personales mediante contrato con el encargado del tratamiento. Exige autorización previa del responsable (titular del banco de datos) y asigna al encargado la carga probatoria de tal autorización. El subcontratista actúa en nombre y por cuenta del responsable.

Temas: subcontratación de datos personales, autorización del responsable del tratamiento, cadena de responsabilidad, encargado del tratamiento, carga de la prueba, tratamientos especiales