La empresa está obligada a notificar un fichero de personal en el que esta constará como Responsable de Fichero, y la gestoría como Encargado de Tratamiento, quedando ambos sujetos a las exigencias de la Agencia Española de Protección de Datos.

De igual forma, la relación jurídica entre la empresa y la gestoría deberá quedar reflejada en un documento contractual, tal y como establece el art.12.2 de la LOPD, debiendo este constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido. En el deberá establecerse expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento y que no los aplicará o utilizará con fin distinto a los fijados en el contrato así como que no los comunicará, ni siquiera para su conservación, a otras personas.

En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de la LOPD que el encargado del tratamiento está obligado a implementar.

Del mismo modo el contrato debe informar de que los datos de carácter personal deberán ser destruidos o devueltos al responsable una vez concluya la relación contractual, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

Fuente: Inteco