Cuando contratas a un freelancer y le das acceso a datos de clientes, empleados o proveedores, tu empresa sigue siendo la responsable de esos datos. La privacidad se protege con cuatro decisiones: elegir bien a quién das acceso, fijar por escrito qué puede hacer con los datos, limitar lo que ve y cerrar el proyecto con devolución o destrucción de la información. Esta guía las recorre en orden, con las fuentes oficiales en las que se apoyan.
En resumen
- Compartir datos personales con un freelancer activa las obligaciones del RGPD, y tu empresa responde también de lo que haga la persona que elijas.
- Debes elegir freelancers que ofrezcan garantías suficientes de seguridad técnica y organizativa, y dejarlo reflejado en un contrato.
- Da acceso solo a los datos necesarios, por canales controlados y sin mezclar equipos o perfiles personales y profesionales.
- La confidencialidad sigue vigente al terminar el trabajo: el freelancer devuelve o destruye los datos según tus instrucciones.
- Si el freelancer está fuera del Espacio Económico Europeo, la transferencia exige un análisis previo.
Tabla de contenidos
- Qué cuenta como dato personal y cuándo se activa el RGPD
- Quién responde: tu empresa, no solo el freelancer
- Los riesgos reales de privacidad con freelancers
- Qué cláusulas de protección de datos incluir en el acuerdo
- Medidas de seguridad durante el proyecto
- Verificar antes de dar acceso
- Perspectiva de Aura Social
- Trabajar con freelancers de otros países
- Cerrar el proyecto: devolución, borrado y secreto
- Si hay una filtración o un acceso no autorizado
- Contratar con control desde el primer día
- Preguntas frecuentes
- Fuentes
Qué cuenta como dato personal y cuándo se activa el RGPD
Un dato personal es cualquier información sobre una persona física identificada o identificable. Según la guía de contratación de servicios de INCIBE, el acceso a esos datos por parte de un tercero, como un freelancer, activa las obligaciones del RGPD.
Esto es más amplio de lo que parece. No hace falta entregar una base de datos de clientes. Basta con que la persona que diseña tu web vea los correos de los suscriptores, que la que te lleva la contabilidad abra facturas con nombres y NIF, o que quien te da soporte entre en un CRM. Por eso conviene hacer un inventario sencillo antes de contratar: qué datos tocará, de quién son y si realmente los necesita.
Hay encargos que no requieren ningún dato personal: un logotipo, la traducción de un texto público o una ilustración. En esos casos, la mejor protección es no compartir nada.
Quién responde: tu empresa, no solo el freelancer
El error más habitual es pensar que, al externalizar, también se externaliza la responsabilidad. El Comité Europeo de Protección de Datos lo explica para pymes: el responsable del tratamiento responde de su propio cumplimiento y del de su encargado. Si el encargado incumple el RGPD, el responsable podría ser considerado responsable y enfrentarse a multas u otras consecuencias.
En la práctica, cuando el freelancer trata datos por cuenta de tu empresa y siguiendo tus instrucciones, tu empresa es la responsable y la persona freelance es la encargada. Eso implica un deber de diligencia en la elección. La guía de directrices para contratos de la AEPD indica que el responsable debe escoger a quien ofrezca garantías suficientes de seguridad técnica y organizativa, y que puede comprobarlo mediante certificaciones o códigos de conducta.
Cómo documentar la elección
No hace falta un proceso burocrático, pero sí dejar rastro. Guarda:
- Qué datos necesita el proyecto y por qué.
- Qué garantías te ha dado el freelancer (políticas, certificaciones si las tiene, herramientas que usa).
- Quién en tu empresa aprobó la contratación. Si trabajas con varias personas, una aprobación interna de propuestas evita que alguien dé acceso a datos sin que nadie lo sepa.
- El contrato firmado.
Los riesgos reales de privacidad con freelancers
Los riesgos rara vez son sofisticados. Suelen ser descuidos cotidianos:
- Conexiones inseguras. La AEPD recomienda, en su nota técnica sobre teletrabajo, evitar redes Wi-Fi abiertas no seguras y verificar los correos y archivos adjuntos sospechosos, que pueden facilitar malware o accesos no autorizados.
- Equipos mezclados. Si el freelancer usa su ordenador personal, la misma guía aconseja no simultanear actividad personal y profesional y definir perfiles independientes para cada tipo de tarea.
- Datos subidos a sitios equivocados. Un caso documentado: en 2015, un empleado de una empresa de recobro subió a una plataforma freelance datos personales de clientes de una operadora australiana para encargar una tarea; la empresa reconoció infracciones de los principios de privacidad australianos. La lección es válida en cualquier país: el riesgo no es solo quien trabaja, sino cómo se entregan los datos.
- Accesos que nadie revoca. Contraseñas compartidas, cuentas que siguen activas meses después del encargo.
- Datos de contacto fuera de canal. Intercambiar correos o teléfonos personales antes de tiempo reduce el control sobre las comunicaciones y los pagos.
Qué cláusulas de protección de datos incluir en el acuerdo
El contrato es donde la privacidad deja de ser una buena intención. Cuando el freelancer trata datos personales, tu empresa necesita un acuerdo vinculante que defina el encargo. Como orientación práctica de redacción, estas son las cláusulas que conviene revisar, idealmente con tu asesoría jurídica:
| Cláusula | Qué debe aclarar |
|---|---|
| Objeto y finalidad | Qué tratamiento se encarga, con qué datos y para qué. Nada más. |
| Instrucciones | El freelancer trata los datos solo según tus instrucciones documentadas. |
| Confidencialidad | Deber de secreto que continúa tras terminar el contrato. |
| Medidas de seguridad | Dispositivos, cifrado, contraseñas, doble factor, redes permitidas. |
| Subcontratación | Prohibición de pasar datos a terceros o a otros freelancers sin tu autorización. |
| Transferencias internacionales | País desde el que trabaja y garantías aplicables si está fuera del EEE. |
| Incidentes | Plazo y canal para avisarte de cualquier acceso no autorizado o pérdida. |
| Fin del encargo | Devolución o destrucción de los datos y confirmación por escrito. |
| Auditoría y colaboración | Poder pedir información que demuestre el cumplimiento. |
Para el modelo completo de contrato, tienes una guía de contratos con freelancers y cláusulas imprescindibles. Si además el trabajo toca información de negocio sensible, no solo datos personales, complementa con un acuerdo de confidencialidad para freelancers y, si la persona está en otro país, con un NDA internacional.
Un matiz útil: el NDA y el acuerdo de tratamiento de datos no son lo mismo. El NDA protege información confidencial en general. El acuerdo de tratamiento regula específicamente los datos personales. Muchos proyectos necesitan ambos.
Firma y trazabilidad
Un contrato que nadie puede demostrar que firmó vale poco. Una firma electrónica adecuada te da una prueba ordenada de quién aceptó qué y cuándo, algo que agradecerás si más adelante hay que demostrar que el freelancer conocía sus obligaciones.
Cuando tengas dudas sobre el alcance de un acuerdo vinculante, o sobre quién conserva el control efectivo de los datos cuando un tercero los procesa, un servicio de acuerdos vinculantes con terceros o tu asesor jurídico puede revisarlo antes de firmar.
Medidas de seguridad durante el proyecto
Las cláusulas dicen qué se debe hacer. Estas prácticas hacen que ocurra:
- Mínimo necesario. Entrega solo los campos que hacen falta. Si el freelancer analiza tendencias de ventas, no necesita nombres: anonimiza o seudonimiza antes de compartir.
- Canal controlado. Usa un espacio compartido con permisos y registro de accesos, no archivos adjuntos que se reenvían sin control.
- Cuentas nominales. Una cuenta por persona, con doble factor, nunca contraseñas compartidas.
- Acceso por tiempo limitado. Concede permisos por fases y revócalos al cerrar cada una.
- Entorno separado. Pide que trabaje con un perfil o dispositivo dedicado a tu proyecto, como recomienda la AEPD para los equipos personales.
- Redes de confianza. Evitar Wi-Fi abiertas, como señala la misma nota técnica, debe estar escrito como norma del proyecto.
- Formación breve. Una página con tus reglas de manejo de datos, que el freelancer confirme haber leído.
Si contratas a varias personas a la vez, multiplica los puntos de acceso. Antes de montar un equipo remoto freelance, decide quién ve qué, y decide también si te conviene un freelancer individual o un equipo: menos manos suelen significar menos exposición, siempre que el encargo lo permita.
Verificar antes de dar acceso
La diligencia en la elección empieza antes del contrato. Comprueba la identidad, la trayectoria y las referencias. Una verificación de antecedentes bien planteada, con su propia base legal y proporcionada al riesgo, forma parte de ese deber de elegir con garantías. Cuanto más sensible el dato, más exigente debe ser la comprobación.
Perspectiva de Aura Social
En Aura Social vemos el mismo patrón una y otra vez: las empresas se preocupan por el precio y los plazos, y dejan la privacidad para después de empezar. Es al revés. Los datos se entregan en los primeros días, y ahí se decide casi todo.
Por eso diseñamos la plataforma para que las decisiones importantes ocurran en un mismo sitio: freelancers con identidad verificada y evaluados, contratos con NDA incluido, comunicación y pagos dentro del entorno, y pago protegido por escrow que se libera al terminar el acuerdo. Nuestra apuesta es que un proceso ordenado reduce los atajos, como pasar datos por correo personal o pagar fuera de canal.
Tampoco cobramos comisión a los freelancers: conservan el 100 % de sus honorarios. Creemos que una relación transparente, sin incentivos para salirse de la plataforma, favorece que ambas partes respeten las reglas pactadas. Un acuerdo claro de datos es parte de esa transparencia, y recomendamos revisarlo con tu asesoría antes de compartir información personal.
Danell
Trabajar con freelancers de otros países
La gran ventaja de un marketplace global es el acceso a talento en cualquier lugar. El coste es una pregunta adicional: dónde está la persona que verá los datos.
Si el freelancer está dentro del Espacio Económico Europeo, el RGPD se aplica de forma homogénea. Si está fuera, el envío de datos personales es una transferencia internacional. La guía de la autoridad francesa CNIL sobre análisis de impacto de transferencias precisa que lo realiza el exportador sometido al RGPD, con la ayuda del importador, antes de una transferencia fuera del EEE basada en una herramienta del artículo 46. En lenguaje llano: tu empresa, que exporta, hace el análisis, y el freelancer colabora con la información.
Otros países tienen sus propias reglas. Por ejemplo, en Australia, los principios de privacidad sobre divulgación transfronteriza exigen que la entidad tome medidas razonables para que el receptor extranjero no incumpla las normas. Si tu negocio también atiende a personas de varios países, comprueba qué legislación te alcanza en cada caso; no asumas que una sola norma lo cubre todo.
Para tus proyectos con talento internacional, ayuda también ordenar los pagos desde el principio: una guía sobre pagos internacionales a freelancers te evita compartir datos bancarios por canales poco seguros.
Cerrar el proyecto: devolución, borrado y secreto
El final del proyecto es donde más se descuida la privacidad. Según la guía de la AEPD sobre protección de datos en las relaciones laborales, quien trata los datos debe mantener un deber de secreto permanente tras finalizar el contrato y devolver o destruir la información según las instrucciones del responsable antes de cerrar el proyecto.
Un cierre ordenado incluye:
- Lista de todo lo entregado y dónde está (carpetas, herramientas, copias locales).
- Instrucción escrita: devolver o destruir.
- Confirmación por escrito del freelancer de que lo ha hecho.
- Revocación de accesos y cambio de credenciales compartidas.
- Registro del cierre en tu archivo del proyecto.
Puedes integrarlo en tu checklist para contratar freelancers, de la necesidad al primer pago, añadiendo una última línea: el cierre de privacidad.
Si hay una filtración o un acceso no autorizado
Tener un plan escrito antes de que ocurra ahorra horas críticas. Un protocolo mínimo:
- Aviso inmediato. El contrato debe obligar al freelancer a informarte sin demora y por un canal concreto.
- Contención. Revoca accesos, cambia credenciales y bloquea el dispositivo o la cuenta afectada.
- Valoración. Determina qué datos, de cuántas personas y con qué riesgo para ellas.
- Notificaciones. Consulta con tu delegado de protección de datos o asesoría jurídica si procede avisar a la autoridad de control y a los afectados; la decisión depende de la gravedad y no debe improvisarse.
- Registro y mejora. Documenta qué pasó y qué cambias para que no se repita.
Recuerda que, como responsable, tu empresa responde también por el encargado. Cuanto mejor documentada esté tu diligencia previa, más sólida será tu posición.
Contratar con control desde el primer día
Si quieres reducir los puntos ciegos, una plataforma que centraliza identidad verificada, contrato, NDA, comunicación y pago te lo pone más fácil. En Aura Social publicas el proyecto sin coste, recibes propuestas de freelancers verificados en 24 horas y pagas con protección de escrow; los contratos pueden incluir acuerdos de confidencialidad. Nuestra tarifa es del 12,5 % por proyecto contratado, que paga el cliente, y no hay cuotas de suscripción.
Si ya sabes qué perfil buscas, explora las categorías y contrata freelancers. Si prefieres que te propongamos candidatos, solicita una selección a medida. Recuerda que el contrato de tratamiento de datos personales debe ajustarse a tu caso con ayuda de tu asesoría.
Preguntas frecuentes
¿Necesito un contrato de protección de datos con cada freelancer?
Si el freelancer accede a datos personales de los que tu empresa es responsable, sí: debes formalizar el encargo por escrito y elegir a alguien que ofrezca garantías suficientes, como indica la AEPD. Si el encargo no implica ningún dato personal, basta con un contrato de servicios y, si procede, un NDA.
¿Un NDA sustituye al acuerdo de tratamiento de datos?
No. El NDA protege información confidencial en general; el acuerdo de tratamiento regula cómo se usan, protegen, devuelven o destruyen los datos personales. Lo habitual es que un proyecto con datos de clientes necesite ambos documentos.
¿Puedo compartir datos con un freelancer de fuera de la UE?
Se puede, pero es una transferencia internacional y requiere garantías y un análisis previo por parte de tu empresa, tal como describe la CNIL. Antes de enviar nada, confirma el país, la herramienta de transferencia aplicable y consulta con tu asesoría jurídica.
¿Qué hago con los datos cuando termina el proyecto?
Define por escrito si el freelancer los devuelve o los destruye y pide confirmación. Su deber de secreto continúa después del contrato, y tú debes revocar los accesos y cerrar el archivo del proyecto.
Fuentes
- INCIBE: Contratación de servicios
- EDPB: Responsable o encargado del tratamiento
- AEPD: Guía de directrices para contratos
- AEPD: Recomendaciones para proteger los datos personales en teletrabajo
- OAIC: Australian Recoveries and Collections, compromiso exigible
- CNIL: Guide pratique, analyse d'impact des transferts de données
- OAIC: APP 8, divulgación transfronteriza de información personal
- AEPD: La protección de datos en las relaciones laborales