Source: http://docplayer.es/8331638-El-encargado-del-tratamiento-y-el-documento-de-seguridad-del-responsable-del-fichero.html
Timestamp: 2019-07-16 19:06:50
Document Index: 131683858

Matched Legal Cases: ['artículo 3', 'artículo 3', 'artículo 12', 'artículo 12', 'artículo 11', 'artículo 12', 'artículo 12', 'Artículo 5', 'artículo 12', 'artículo 9', 'artículo 20', 'Artículo 20', 'artículo 12', 'artículo 21', 'artículo 21', 'artículo 12', 'artículo 22', 'artículo 22', 'artículo 9', 'artículo 7', 'artículo 79', 'artículo 88', 'artículo 9', 'artículo 88', 'artículo 12', 'artículo 12', 'artículo 82', 'artículo 89', 'artículo 82', 'artículo 88', 'artículo 20']

El encargado del tratamiento y el documento de seguridad del responsable del fichero - PDF
Download "El encargado del tratamiento y el documento de seguridad del responsable del fichero"
Natividad Sandoval Velázquez
1 El encargado del tratamiento y el documento de seguridad del responsable del fichero MARÍA ARIAS POU I. Introducción Cuando ha transcurrido ya más de un año desde que el 19 de abril de 2008 entrase en vigor el Reglamento de desarrollo 1 de la LOPD 2, estimamos que es un buen momento para reflexionar acerca del cumplimiento de las exigencias que en el mismo se contienen. En nuestra opinión, uno de los principales objetivos, que ha venido a cubrir el tan esperado desarrollo reglamentario de la LOPD, ha sido el de dar cobertura a aquellas cuestiones que la LOPD incorporó a nuestro ordenamiento jurídico, por transposición de la Directiva 95/46/ CE 3 y que hasta la fecha no tenían cobertura reglamentaria. Una de estas cuestiones la materializa la figura del encargado del tratamiento y respecto de ella, nuestro objetivo es centrarnos en analizar cómo debe éste cumplir con el deber de garantizar la seguridad de los datos en el tratamiento de datos por cuenta de terceros que lleva a cabo. En materia de protección de datos, cuando transmitimos los datos personales, de los ficheros de los que somos responsables, a un tercero, podemos estar realizando una comunicación o cesión de datos, o podemos estar contratando la prestación de un servicio que implica necesariamente una transmisión de datos. En este segundo supuesto estamos ante lo que se conoce como un contrato de prestación de servicios o acceso a los datos por tercero y ese tercero es el conocido como encargado del tratamiento. Entre los sujetos que proceden al tratamiento de los datos, distinguimos dos clases, de un lado, el responsable del fichero 4, que es la «persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento». Y, de otro lado, el encargado del tratamiento 5 que es «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento». La clave de estas definiciones está en que el responsable del fichero lo es porque decide sobre la finalidad, contenido y uso del tratamiento que se va a llevar a cabo y esto aunque, 1 Reglamento de desarrollo aprobado por Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. (BOE núm. 17, de 19 de enero de 2008). En adelante nos referiremos a él como Reglamento de la LOPD o como RDLOPD. 2 Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. (BOE núm. 298, de 14 de diciembre de 1999). En adelante nos referiremos a ella como LOPD. 3 Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. 4 Definición contenida en el artículo 3 d) de la LOPD. 5 Definición contenida en el artículo 3 g) de la LOPD. Derecho y Nuevas Tecnologías 1
2 como añade el RDLOPD al definirlo 6, «no lo realizase materialmente». Y por su parte, la clave de la figura del encargado del tratamiento la encontramos en que éste presta los servicios por cuenta del responsable del fichero, recibe un encargo que implica un tratamiento de datos, pero no decide ni sobre la finalidad del tratamiento, ni sobre el contenido de los datos a tratar, ni sobre el uso o usos que se les vayan a dar a los datos. Además, cabe señalar que el RDLOPD ha añadido a estas definiciones la aclaración de que podrán ser también responsables del fichero o encargados del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. De este modo se viene a incluir en estas categorías de sujetos estos entes sobre los que había duda sobre si podían o no ser sujetos responsables o encargados del tratamiento. Un ejemplo clásico de la figura de la prestación de servicios o el acceso a datos por terceros es el de una gestoría de nóminas que trata los datos de los empleados de sus clientes para prestarles el servicio de elaborarles las nóminas. Otro ejemplo de acceso a los datos por terceros, en el ámbito del comercio electrónico, lo encontramos en el prestador de servicios de hosting, que gestiona y administra las cuentas de correo electrónico del personal que trabaja en las empresas de sus clientes para darles de alta las cuentas de correo, alojarlas en el servidor, comprobar su funcionamiento y demás servicios que le obligan a tratar las direcciones de correo electrónico de los trabajadores. Dicho esto, pasemos a analizar el régimen jurídico de esta figura. II. Acceso a datos por cuenta de tercero El acceso a los datos por cuenta de terceros, como hemos señalado, no se considerará una comunicación de datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del fichero. La regulación jurídica de esta figura la encontramos principalmente en el artículo 12 de la LOPD y ahora también en los artículos 20 a 22 del RDLOPD. Y en materia de seguridad, en la que nos vamos a centrar en el presente trabajo, destacan los artículos 82 y 83 que se refieren expresamente a la figura del encargado del tratamiento. Con carácter previo a analizar la figura del contrato de prestación de servicios, y siguiendo una corriente doctrinal 7 que así lo expone, señalar cómo esta figura implica en esencia una cesión de datos a un tercero, el encargado del tratamiento, si bien, el legislador ha querido realizar en ella un ficción jurídica y no considerarla cesión cuando reúna los requisitos que se establecen en el artículo 12 de la LOPD que pasamos a examinar. Piñar Mañas lo explica así: «lo más correcto es afirmar que la cesión de datos del responsable al encargado, está habilitada en virtud del propio artículo 11, pues el consentimiento del interesado no es necesario porque al cesión está autorizada en una ley, precisamente la propia LOPD en su artículo 12». Y matiza que «en caso de que se cumplan los requisitos establecidos por el artículo 12 de la LOPD que ahora desarrollan los artículos 20 a 23 del 6 Artículo 5.1. q) «Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados». 7 En este sentido, PIÑAR MAÑAS, J.L. en sus comentarios a los artículos 20 a 22 del RDLOPD en la obra Comentarios al Reglamento. Editorial Lex Nova. Valladolid, 2008, pp. 218 y Derecho y Nuevas Tecnologías
3 Reglamento, estaríamos ante una ficción legal en virtud del cual cabría considerar que el acceso de datos por parte del encargado ( ) no sería consecuencia de ninguna cesión por el responsable» Necesidad de un contrato Conforme al artículo 12 de la LOPD, la realización de tratamientos por cuenta de terceros debe estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, por ejemplo, en un documento electrónico. Este contrato debe establecer expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del fichero, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. Asimismo, en el contrato se deben estipular, las medidas de seguridad a que se refiere el artículo 9 de la LOPD que el encargado del tratamiento está obligado a implementar. Como consecuencia de que el acceso a los datos por tercero no nos convierte en responsables del fichero, la prestación del servicio es limitada y por tanto otra estipulación del contrato debe referirse a la destrucción o devolución de los datos al responsable del fichero, junto con cualquier soporte o documento, en que conste algún dato de carácter personal objeto del tratamiento, que derive de la prestación del servicio. El artículo 20 del RDLOPD 8 aclara, entre otras cuestiones, que el servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y que podrá ser temporal o indefinido. Señala además que se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. También, queremos señalar que recuerda que el responsable del fichero cuando contrate la prestación de un servicio deberá velar porque el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en el Reglamento. 8 Artículo 20. Relaciones entre el responsable y el encargado del tratamiento «1. El acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre y en el presente capítulo. El servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. 2. Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento. 3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. No obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo». Derecho y Nuevas Tecnologías 3
4 Por último, antes de centrarnos en la obligación de garantizar la seguridad de los datos por el encargado del tratamiento, señalar que entre las novedades más importantes el RDLOPD regula expresamente el supuesto de la subcontratación y la conservación de datos por éste Subcontratación En cuanto a la subcontratación, el artículo 21 del Reglamento establece la regla general de la necesidad de autorización previa del responsable del fichero para proceder a la subcontratación y, en caso de que excepcionalmente se permita, se establece la necesidad de que la subcontratación se realice en nombre y por cuenta del responsable del tratamiento. Como excepción a esta regla general de la necesidad de autorización previa, a continuación, el artículo 21 regula las excepciones a la misma y distingue dos supuestos: el primero, se refiere a los casos en los que desde el momento de la celebración del contrato de prestación de servicios, se prevea la necesidad de subcontratar, y el segundo, a los que esta necesidad sobrevenga durante la prestación del servicio. En el primer supuesto, se establece que será posible la subcontratación cuando se especifiquen en el contrato de prestación de servicios entre el responsable del fichero y el encargado del tratamiento, los servicios que puedan ser objeto de subcontratación y la empresa con la que se vaya a subcontratar. Hay ocasiones en las que la subcontratación puede detallarse así en la práctica, sin embargo, dado que en muchas otras situaciones, no es así, se prevé que la determinación de la empresa subcontratada se posponga al momento en el que se produzca y así sea comunicada por el responsable al encargado. En el segundo supuesto, cuando la necesidad de subcontratación surja con posterioridad al contrato, y por tanto, no hubiese sido prevista en el contrato de prestación de servicios entre el responsable del fichero y el encargado del tratamiento, éste deberá comunicar a aquél los datos que la identifiquen antes de proceder a la subcontratación. Como requisito común a todos los supuestos previstos de subcontratación, se establece además de la necesidad de comunicación al responsable del fichero, y la de que la empresa subcontratada firme con el encargado del tratamiento un contrato que reúna todas las exigencias del artículo 12 de la LOPD. De esta forma, el subcontratado estará sujeto a las mismas responsabilidades que encargado del tratamiento cuando no cumpla las instrucciones estipuladas por el responsable del fichero para la prestación del servicio encomendado Conservación de datos Partiendo de que una de las obligaciones que implica un contrato de prestación de servicios, como ya hemos señalado, es que una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, y que esta obligación alcanza a cualquier soporte o documento en que conste algún dato de carácter personal objeto del tratamiento, el artículo 22 del Reglamento recoge dos previsiones al respecto, de un lado, el caso de que exista una previsión legal que exija la conservación de los datos, en cuyo caso el Reglamento prevé que el encargado del tratamiento deberá proceder a la devolución de los mismos al respon- 4 Derecho y Nuevas Tecnologías
5 sable del fichero, quien deberá garantizar dicha conservación. Y, de otro lado, el artículo 22 termina refiriéndose al caso en que pudieran derivarse responsabilidades de su relación con el responsable del tratamiento, y añade que, en este caso, el encargado del tratamiento conservará, debidamente bloqueados, los datos. III. Obligación de garantizar la seguridad de los datos Una de las tareas principales del RDLOPD era la de colmar la laguna de desarrollo reglamentario que existía en materia de medidas de seguridad. Esta laguna abarcaba varias cuestiones, entre las que destacamos las siguientes: la falta de regulación de las medidas de seguridad que resultan aplicables a los ficheros no automatizados o manuales o la determinación de cómo deben aplicar las medidas de seguridad los encargados del tratamiento, que es de la que nos vamos a ocupar más detalladamente. La obligación de seguridad se desarrollaba, hasta la entrada en vigor del RDLOPD, el pasado 19 de abril de 2008, en el Reglamento de Medidas de Seguridad 9, y se hacía únicamente como obligación del responsable del fichero y exclusivamente respecto de los tratamientos automatizados de datos. En este sentido, acudimos a la redacción del artículo 9 de la LOPD que dispone: «1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley». Dicho esto, la primera conclusión que queremos resaltar es que la obligación de garantizar la seguridad de los datos corresponde también al encargado del tratamiento. Sin perjuicio de que esto no estuviese previsto ni desarrollado reglamentariamente por el Reglamento de Medidas de Seguridad. En este sentido, el RDLOPD que dedica a la seguridad de los datos su Título VIII referente a «De las medidas de seguridad en el tratamiento de datos de carácter personal», comienza con el artículo 79 que describe el alcance de esta obligación diciendo que «Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cual sea su sistema de tratamiento». 9 Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de Seguridad de los ficheros automatizados que contengan datos de carácter personal. Reglamento que fue derogado por el RDLOPD y que se dictó para desarrollar la anterior Ley Orgánica de Protección de Datos, la Ley 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de los datos de carácter personal, y que en virtud de la Disposición transitoria tercera de la LOPD ha venido siendo aplicada hasta la aprobación del Reglamento de desarrollo de la LOPD. Derecho y Nuevas Tecnologías 5
6 A continuación, y después de describir los niveles de medidas de seguridad y la aplicación de los mismos, dedica dos artículos, el 82 y 83, a detallar algunas cuestiones referentes a la forma en la que se debe gestionar la seguridad de los datos cuando existe una prestación de servicios y que desarrollaremos después. Un vez analizada la obligación del encargado del tratamiento de garantizar la seguridad de los datos, y visto que esta obligación debe estar estipulada en el contrato de prestación de servicios, pasamos a considerar cómo debe materializarse este hecho, primero en el documento de seguridad del responsable del fichero que encarga la prestación del servicio y segundo en el documento de seguridad del propio encargado del tratamiento 10. IV. El documento de seguridad del responsable del fichero Partiendo de la premisa de la obligación, tanto del responsable del fichero, como del encargado del tratamiento, de deber garantizar la seguridad de los datos, la primera obligación que se deriva de la seguridad es la de adoptar un documento de seguridad. El documento de seguridad, conforme al artículo 88 del RDLOPD, debe recoger las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente en cada momento. Es un documento que, podemos decir, recoge la política de seguridad de la empresa o entidad, respecto del tratamiento de la información personal que maneja en el desarrollo de su actividad, por este motivo es necesario que permanezca en todo momento actualizado y que sea revisado siempre que se produzcan cambios relevantes en el sistema de información, en la organización o en el sistema de tratamiento que se emplee, por ejemplo, esto es, siempre que el cambio que se produzca afecte a las medidas de seguridad que se describan en el documento y estén siendo aplicadas. Otra característica del documento de seguridad es la de ser de obligado cumplimiento para el personal con acceso a los datos. Se trata de un documento interno de la organización que deberá estar a disposición de la autoridad de control competente, la Agencia Española de Protección de Datos, o la Agencia autonómica en su caso, en caso de que tenga alguna inspección en materia de protección de datos. El responsable del fichero puede organizar este documento como mejor se adecue a su sistema de información, esto es, puede elaborar un único documento que comprenda todos los ficheros o tratamientos, un documento para cada fichero o tratamiento, o distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atender a criterios organizativos y estructurarlo de otra forma. El Reglamento define el contenido mínimo del documento añadiendo al mismo cuestiones más exigentes según el nivel de medidas de seguridad a aplicar sea básico, medio o alto y todo sin perjuicio de que el contenido que describe ha de entenderse como mínimo, es decir, la obligación de garantizar la seguridad, puede exigir, según los casos, medidas de seguridad distintas de las que describe el Reglamento, ya que lo importante es que se cumpla lo que dispone el artículo 9 de la LOPD, anteriormente citado, en relación a garantizar la seguridad de los datos de carácter personal y evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almace- 10 A este respecto Informe Jurídico de la Agencia Española de Protección de Datos, Informe 0602/2008, disponible en su página web 6 Derecho y Nuevas Tecnologías
7 nados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. Dicho esto, a los efectos que nos ocupan, el artículo 88 que analizamos, dedica a los supuestos en los que existe un tratamiento de datos por cuenta de terceros, los apartados 5 y 6. En estos apartados se establece la necesidad de que el documento de seguridad refleje la identificación de los ficheros o tratamientos que se traten en concepto de encargado del tratamiento, encargo que, por exigencia del artículo 12 de la LOPD, deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido. En este sentido, se exige también que el documento de seguridad haga referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo. En segundo lugar, se contempla el supuesto de que los datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, y en este caso se prevé que el responsable lo anote así en su documento de seguridad. Cuando esta circunstancia afecte a parte o a la totalidad de los ficheros o tratamientos del responsable, el Reglamento prevé que podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Como requisito necesario en estos casos se prevé que este hecho se indique de modo expreso en el contrato celebrado al amparo del artículo 12 de la LOPD y que en el mismo se especifiquen los ficheros o tratamientos afectados. Dicho esto, señalar que el Reglamento establece también unas reglas especiales que afectarán al contenido del documento de seguridad del responsable del fichero, en los ya citados artículos 82 y 83. Entre los aspectos que se detallan, destaca la distinción que realiza en base a la modalidad de la prestación del servicio, esto es, en el hecho de si el encargado del tratamiento presta el servicio en los locales del responsable del fichero, a través de acceso remoto a sus sistemas o en sus propios locales. En nuestra opinión, definir este aspecto no está exento de consecuencias, veamos cada supuesto: 1. Prestación de servicios en los locales del responsable: en estos casos, el responsable del fichero o tratamiento facilita el acceso a los datos, a los soportes que los contienen o a los recursos del sistema de información que los trata, a un encargado de tratamiento que presta sus servicios directamente en sus locales. En este supuesto de hecho, la primera consideración que debemos realizar es que al desarrollarse el servicio contratado en los locales del responsable y a través de los medios que éste pone a disposición del encargado del tratamiento, corresponde al responsable del fichero adoptar las medidas de seguridad que corresponda y ponerlas en conocimiento del encargado. De esta forma, el artículo 82.1 del RDLOP prevé la obligación del responsable de hacer constar esta circunstancia en su propio documento de seguridad, darlo a conocer al personal del encargado quien deberá comprometerse al cumplimiento de las medidas de seguridad previstas en el citado documento. De este modo, se traslada, para con el personal externo que acude a los locales del responsable a prestar sus servicios, la obligación que el artículo 89.2 del RDLOPD establece de que el responsable adopte las medidas necesarias para que su personal conozca, de una forma comprensible, las normas de seguridad que afecten al desarrollo de sus funciones, así como las consecuencias en que pudiera incurrir en caso de incumplimiento. 2. Prestación de servicios por acceso remoto: el artículo 82.1 segundo párrafo, contempla el supuesto en el que el acceso por el encargado del tratamiento o su personal sea remoto y, además, se haya prohibido al encargado incorporar tales datos a sistemas o soportes distin- Derecho y Nuevas Tecnologías 7
8 tos de los del responsable. En este caso, el responsable del fichero, deberá hacer constar esta circunstancia en su documento de seguridad, comprometiéndose el personal del encargado del tratamiento al cumplimiento de las medidas de seguridad previstas en el citado documento. 3. Prestación de servicios en los locales del encargado: cuando el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de seguridad en los términos exigidos por el artículo 88 o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento al que accede como tal encargado así como el responsable del mismo e incorporará las medidas de seguridad a implantar en relación con dicho tratamiento. 4. Prestaciones de servicios sin acceso a datos personales: en estos casos, el responsable del fichero o tratamiento debe adoptar las medidas adecuadas para limitar el acceso, del personal contratado para la prestación de servicios, a los datos personales, a los soportes que los contengan o a los recursos del sistema de información, durante la realización de los trabajos encomendados. Cuando se trate de personal ajeno, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que se hubieran podido conocer con motivo de la prestación del servicio. V. Conclusión La obligación de garantizar la seguridad de los datos durante su tratamiento alcanza tanto al responsable del fichero como al encargado del tratamiento y así se debe reflejar en el contrato de prestación de servicios que celebren entre ambos. La figura del encargado del tratamiento ha visto, con el RDLOPD, su desarrollo reglamentario cumplido y, después de un año de su aplicación, consideramos que existe mayor seguridad jurídica en torno a esta figura. En relación con estas dos cuestiones, debemos concluir que este desarrollo reglamentario ha venido a arrojar luz sobre una cuestión importante, la necesidad de adecuar el documento de seguridad, del responsable del fichero, de un lado, y el del encargado del tratamiento, de otro lado, a la realidad que en cada caso concurra en cuanto a la aplicación de las medidas de seguridad que corresponda y a la forma en la que éstas se apliquen atendiendo a las circunstancias concretas de cada caso. Esto es, a materializar en la práctica el deber de garantizar la seguridad de los datos del encargado del tratamiento, que estará recogido en el contrato de prestación de servicios y el deber del responsable del fichero, de velar porque el encargado del tratamiento reúna las condiciones necesarias para proceder al tratamiento de los datos, tal y como le exige el artículo 20.2 del RDLOPD A este respecto Informe Jurídico de la Agencia Española de Protección de Datos, Informe 0457/2008, disponible en su página web 8 Derecho y Nuevas Tecnologías