Contrato de Outsourcing España — CC art. 1544 y ET art. 42

El Contrato de Outsourcing es, en España, el contrato escrito regulado por Código Civil art. 1544; Estatuto de los Trabajadores art. 42; Reglamento (UE) 2016/679 (RGPD), que define las prestaciones de cada parte y resulta exigible ante la jurisdicción civil.

El outsourcing en España abarca una amplia gama de actividades empresariales: outsourcing de tecnologías de la información (ITO) — incluyendo desarrollo de software, gestión de infraestructura TI, servicios de help-desk y operaciones de ciberseguridad — regulado adicionalmente por la Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI); outsourcing de procesos de negocio (BPO) — incluyendo contabilidad, procesamiento de nóminas, atención al cliente (call centres) y logística; outsourcing de procesos de conocimiento (KPO) — incluyendo investigación jurídica, análisis de datos y servicios de ingeniería; y outsourcing de gestión de instalaciones (facilities management) — incluyendo mantenimiento de edificios, servicios de seguridad y limpieza.

El Artículo 42 del Estatuto de los Trabajadores es la norma central del régimen jurídico español de las contratas y subcontratas cuando la actividad externalizada guarda relación con la propia actividad del cliente (doctrina de la «propia actividad»). Conforme al Artículo 42.1 ET, la empresa principal responde solidariamente con el contratista de las obligaciones de éste frente a los trabajadores que prestan los servicios contratados — incluyendo salarios impagados, cuotas a la Tesorería General de la Seguridad Social (TGSS) y vacaciones retribuidas — durante el período de contrata y durante los 3 años siguientes a su finalización. Esta responsabilidad opera cuando la actividad externalizada constituye la misma o una actividad estrechamente relacionada con la actividad principal del cliente, conforme a la jurisprudencia desarrollada por la Sala de lo Social del Tribunal Supremo. La Inspección de Trabajo y Seguridad Social (ITSS) audita activamente las cadenas de outsourcing, especialmente en sectores con alta sensibilidad al coste laboral.

El RGPD (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) imponen requisitos contractuales obligatorios para cualquier acuerdo de outsourcing que implique el tratamiento de datos personales. Cuando el proveedor trata datos personales por cuenta del cliente, el proveedor es encargado del tratamiento conforme al Artículo 28 RGPD y resulta obligatorio formalizar un Acuerdo de Encargo del Tratamiento (AET) conforme al Artículo 28 RGPD como parte del contrato de outsourcing. La ausencia de un AET conforme expone a ambas partes a sanciones de la Agencia Española de Protección de Datos (AEPD), que puede imponer multas de hasta 20.000.000 € o el 4 % del volumen de negocio anual global conforme al Artículo 83.4 RGPD.

Los acuerdos de nivel de servicio (SLAs — acuerdos de nivel de servicio o ANS) son un componente crítico de los contratos de outsourcing españoles. Los SLAs definen parámetros de rendimiento medibles — disponibilidad, tiempos de respuesta y resolución, tasas de error e indicadores de calidad — y establecen los remedios contractuales (créditos de servicio, penalizaciones o resolución) ante su incumplimiento. Los tribunales españoles — los Juzgados de lo Mercantil y los Juzgados de Primera Instancia — aplican las normas generales de responsabilidad contractual de los artículos 1101 a 1107 CC a las reclamaciones por incumplimiento de SLA en litigios de outsourcing.

En los acuerdos de outsourcing de computación en la nube o software como servicio (SaaS), el Esquema Nacional de Seguridad (ENS — Real Decreto 311/2022) se aplica a las entidades del sector público y a sus proveedores, estableciendo requisitos de ciberseguridad para los servicios en la nube contratados por las administraciones públicas españolas. El outsourcing del sector privado que afecte a infraestructuras críticas o servicios financieros está sujeto a regulación sectorial específica del Banco de España, la Comisión Nacional del Mercado de Valores (CNMV) y la Dirección General de Seguros y Fondos de Pensiones (DGSFP) en el marco de sus competencias supervisoras.

Un contrato de outsourcing España es necesario siempre que una empresa española o entidad pública encomiende la realización de un proceso, función o servicio empresarial a un proveedor externo, cuando el acuerdo implique un alcance definido de servicios, obligaciones de prestación continuada, acceso a información confidencial o tratamiento de datos personales.

Un contrato de outsourcing formal es necesario cuando una empresa externaliza la gestión de su infraestructura TI, el desarrollo de aplicaciones o la monitorización de ciberseguridad a un proveedor TI externo. El acuerdo debe cumplir las obligaciones de protección de datos del Artículo 28 RGPD, abordar los requisitos de ciberseguridad del Esquema Nacional de Seguridad (ENS) si el cliente es un organismo público, y definir SLAs para la disponibilidad de sistemas y la respuesta ante incidencias.

Un contrato de outsourcing es necesario cuando una empresa externaliza la gestión de nóminas o la contabilidad a una gestoría o firma de asesoría externa — el acuerdo debe cumplir el Artículo 42 ET si los trabajadores del proveedor acuden a los centros de trabajo del cliente, e incluir un acuerdo de encargo del tratamiento para cumplir con el RGPD dado el tratamiento de datos personales de los empleados.

El contrato es necesario cuando una empresa externaliza sus operaciones de atención al cliente — telefónica, por correo electrónico o por chat — a un proveedor de call centre. El acuerdo debe definir los indicadores de rendimiento, las medidas de protección de datos de los clientes tratados por cuenta del cliente y el cumplimiento de la Ley 34/2002 (LSSI) para las comunicaciones electrónicas.

Un contrato de outsourcing es necesario cuando una empresa transfiere sus operaciones logísticas — almacenaje, preparación de pedidos, distribución de última milla — a un operador logístico externo (3PL), abordando la responsabilidad del Artículo 42 ET por los trabajadores del proveedor y los requisitos de la Ley de Ordenación de los Transportes Terrestres (LOTT, Ley 16/1987).

El contrato es necesario cuando una entidad financiera regulada por el Banco de España externaliza una función esencial a un proveedor externo conforme a las directrices de la Autoridad Bancaria Europea (ABE) sobre externalización (EBA/GL/2019/02) implementadas en España a través de la Circular 2/2016 del Banco de España — que requieren evaluación previa de riesgos, previsiones contractuales sobre derechos de auditoría, continuidad de negocio y restricciones de subcontratación.

Un contrato de outsourcing es necesario cuando un proveedor sanitario externaliza servicios clínicos de apoyo — análisis de radiología, servicios de laboratorio diagnóstico o transcripción médica — sujetos a los requisitos de protección de datos de salud (datos de categoría especial conforme al Artículo 9 RGPD) y a los requisitos de autorización específicos de la Ley de Cohesión y Calidad del Sistema Nacional de Salud (Ley 16/2003).

Un contrato de outsourcing válido en España conforme al Artículo 1544 del Código Civil y al Artículo 42 del Estatuto de los Trabajadores debe contener los siguientes elementos esenciales para proteger a ambas partes, acreditar el cumplimiento de las obligaciones laborales en contratas y satisfacer los requisitos de protección de datos del RGPD.

Identificación de las partes: Denominación social completa, NIF/CIF, domicilio social y datos de inscripción en el Registro Mercantil tanto de la empresa contratante (cliente) como de la empresa proveedora. Nombre, cargo y facultades del representante legal que firma por cada parte, con referencia al poder notarial o acuerdo societario (acuerdo de administrador o junta) que le faculta para la firma.

Alcance del servicio: Descripción precisa de los servicios, procesos o funciones externalizados — incluyendo entregables, servicios excluidos, ámbito geográfico y los eventuales servicios de transición para la fase de incorporación. La descripción debe ser suficientemente específica para determinar si resulta aplicable la doctrina de la «propia actividad» del Artículo 42 ET, que determina si el cliente asume responsabilidad solidaria por las obligaciones laborales del proveedor.

Acuerdo de nivel de servicio (SLA): Parámetros de rendimiento medibles — disponibilidad (porcentaje), tiempos de respuesta y resolución, tasas de error e indicadores de calidad — con metodologías de medición definidas, frecuencia de reporte y procedimientos de escalada. Créditos de servicio (service credits) o mecanismos de penalización por incumplimiento de los umbrales de SLA, proporcionales al valor del servicio.

Precio y condiciones de pago: La tarifa de servicio acordada — ya sea fija, tiempo y materiales o por entregable — periodicidad de pago, procedimientos de facturación y previsiones de demora conforme a la Ley 3/2004 de lucha contra la morosidad en las operaciones comerciales. El acuerdo debe contemplar mecanismos de revisión de precios vinculados al IPC (Índice de Precios al Consumo) publicado por el Instituto Nacional de Estadística (INE).

Protección de datos: Un Acuerdo de Encargo del Tratamiento obligatorio conforme al Artículo 28 del Reglamento (UE) 2016/679 (RGPD), especificando: las categorías de datos personales tratados; las finalidades y base jurídica del tratamiento; las medidas de seguridad técnicas y organizativas conforme al Artículo 32 RGPD; los procedimientos para el ejercicio de derechos de los interesados; las obligaciones de notificación de brechas de seguridad (Artículo 33 RGPD — notificación a la AEPD en 72 horas); las obligaciones de conservación y supresión de datos; las restricciones a los subencargados; y la obligación de devolver o suprimir los datos al término del contrato.

Confidencialidad: Obligaciones sólidas de confidencialidad que se extiendan a toda la información propietaria, secretos empresariales protegidos por la Ley 1/2019 de Secretos Empresariales, datos empresariales e información de clientes revelados durante la relación de outsourcing. Obligaciones de confidencialidad post-contractuales y devolución o destrucción de materiales confidenciales.

Cumplimiento del Artículo 42 ET: Cuando los trabajadores del proveedor prestan servicios en los centros del cliente o en relación con la actividad principal del cliente, deben incluirse previsiones sobre: (a) la obligación del proveedor de acreditar el pago puntual de salarios y cuotas a la TGSS (certificado de estar al corriente de pago); (b) el derecho del cliente a retener el pago al proveedor si éste tiene obligaciones laborales o de Seguridad Social pendientes de pago; (c) la responsabilidad subsidiaria y, en determinados casos, solidaria del cliente conforme al Artículo 42.1 ET por las obligaciones laborales del proveedor durante y durante los 3 años posteriores al contrato.

Continuidad de negocio y recuperación ante desastres: Las obligaciones del proveedor de mantener un plan de continuidad de negocio y un plan de recuperación ante desastres, con objetivos mínimos de tiempo de recuperación (RTO) y punto de recuperación (RPO), y obligaciones de notificación en caso de interrupción del servicio.

Resolución del contrato: Causas de resolución — resolución por conveniencia (terminación por conveniencia) con período de preaviso, resolución por incumplimiento esencial, y los servicios de transición que el proveedor debe prestar tras la resolución para facilitar una transferencia ordenada. Obligaciones de asistencia en la salida y prohibición de tácticas de dependencia del proveedor (vendor lock-in).

Forms-legal.com ofrece esta plantilla de contrato de outsourcing España como marco de referencia para acuerdos de externalización de procesos de negocio y TI. Las operaciones de outsourcing complejas — en particular las que implican a entidades financieras, proveedores sanitarios, infraestructuras críticas o entidades del sector público — requieren revisión por un abogado mercantilista cualificado con experiencia en derecho tecnológico y protección de datos para confirmar el cumplimiento del RGPD, las normativas sectoriales y las obligaciones del Artículo 42 ET.

Conforme a la Ley de Sociedades de Capital (LSC) RDL 1/2010, el Registro Mercantil mantiene el registro de las sociedades españolas. El Código de Comercio de 1885 rige las obligaciones mercantiles. La Agencia Estatal de Administración Tributaria (AEAT) administra el Impuesto sobre Sociedades conforme a la Ley 27/2014. La Comisión Nacional de los Mercados y la Competencia (CNMC) aplica el derecho de la competencia. El Código Civil rige las obligaciones contractuales generales conforme al Artículo 1255. La plataforma forms-legal.com ofrece esta plantilla adaptada a la legislación española vigente para facilitar la elaboración de este documento con todas las garantías legales.