Una organización sin ánimo de lucro de Bruselas firma un alojamiento compartido belga. El cuestionario del RGPD solicita la lista completa de subcontratistas, incluidos los del anfitrión. El proveedor del servicio responde “cumplimos con el RGPD” sin anexos. La APD, en caso de inspección, hará la misma pregunta con menos paciencia.
En Bélgica, la Autoridad de Protección de Datos (DPA) espera una cadena documentada, no una insignia. La cuestión va más allá de la elección del anfitrión: se trata de su registro, su DPA y su capacidad de rechazar un nuevo subcontratista.
Responsabilidades en la cadena belga
Tres roles a distinguir:
| Rol | Obligación clave de los subcontratistas |
|---|---|
| Responsable del tratamiento (usted) | Elija un anfitrión que ofrezca garantías suficientes; permitir o denegar subprocesadores |
| Subcontratista (anfitrión) | Contratar a otro subcontratista únicamente con autorización; mismas obligaciones GDPR por contrato |
| Subprocesador (CDN, copia de seguridad, etc.) | Trate según las instrucciones; a menudo invisible sin petición explícita |
El RGPD belga (ley de transposición del 30 de julio de 2018) incorpora estas normas. La especificidad belga: cultura activa de control de la AOD y altas expectativas de transparencia hacia las personas interesadas.
Lista de verificación contractual antes de firmar
Requerir en la DPA o las Condiciones Generales de Venta:
- Lista inicial de subcontratistas con país y rol.
- Mecanismo de notificación (30 días) antes de la incorporación.
- Derecho de oposición o procedimiento de retirada de datos.
- Copia del DPA entre el anfitrión y sus subcontratistas (o resumen de auditoría).
- Cláusula de ubicación alineada con su registro.
- Asistencia para responder a los derechos de las personas y la AOD.
Compare varios listados a través del directorio filtrando los hosts con presencia belga o jurisdicción documentada de la UE.
Mapa más allá del anfitrión
Incluso con un presentador belga o europeo serio, tu canal suele incluir:
- Pago (Mollie, Stripe)
- Correo electrónico (Mailchimp, Brevo)
- Análisis
- Soporte (Zendesk)
- Copia de seguridad externa administrada por usted
Cada enlace = entrada de registro + DPA + análisis de transferencia si está fuera del EEE. Véase acuerdo de subcontratación para conocer el modelo.
Errores observados entre los funcionarios belgas
Registro sin subprocesadores del host.
Oposición imposible contractualmente: cláusula abusiva por negociar.
Confundir alojamiento con alojamiento de datos de salud: otro marco.
Olvídese del holandés/francés en los avisos legales: requisito local distinto del RGPD, pero síntoma de diligencia debida incompleta.
La cumbre: “conforme al RGPD” sin lista de nombres
Ésta es la brecha con los términos y condiciones genéricos: el cumplimiento es una lista viva, no una página estática.
Decide y avanza sin puntos ciegos
- Actualizar el registro compatible con APD con el host y sus terceros.
- Firmar DPA con la lista adjunta.
- Pruebe el procedimiento de alerta de nuevo subcontratista.
- Fusiona tus propios subcontratistas en el mismo mapa.
- Comparar a través del comparador y la guía cláusula de subcontratistas.
Preguntas frecuentes
¿Quién es responsable de los subcontratistas del anfitrión?
El responsable del tratamiento de datos belga sigue siendo responsable; el anfitrión sólo puede contratar a terceros con autorización contractual.
¿El anfitrión debe estar registrado en la APD?
El registro de actividad sustituye a las antiguas declaraciones; Algunas actividades riesgosas requieren AIPD o consulta.
¿Cómo auditar el canal?
Listas actualizadas, DPA posteriores, países, medidas, notificación de cambios: rechace respuestas vagas.
¿Un anfitrión belga garantiza un canal 100% belga?
No: el soporte, la CDN o la copia de seguridad pueden estar en otro lugar. Consultar contractualmente.
Solicite la lista antes de firmar; después del incidente, la APD no acepta "no lo sabíamos".