Responsable y encargado del tratamiento: cómo distinguirlos con una checklist de decisión

01

La diferencia en breve

El responsable del tratamiento es quien determina los fines y los medios del tratamiento de datos personales; el encargado es quien trata los datos por cuenta del responsable, siguiendo sus instrucciones.

Esta distinción, definida en el artículo 4 del RGPD, determina quién asume qué obligaciones frente a los interesados y frente a las autoridades de control.

02

Por qué importa esta distinción

El rol asignado no es una cuestión de etiqueta: depende de quién decide realmente por qué y cómo se tratan los datos. Una organización que recibe datos y los trata siguiendo instrucciones de otro es encargada, no responsable, independientemente de cómo se la denomine en el contrato.

03

Cómo determinar el rol, paso a paso

Pasos

1. Preguntarse quién decide los fines del tratamiento: esa parte es, sola o junto con otras, el responsable.
2. Comprobar quién decide los medios técnicos y organizativos del tratamiento: este elemento también indica al responsable.
3. Si una organización trata datos solo por cuenta de otra y según sus instrucciones, esa organización es el encargado.
4. Formalizar la relación con un contrato u otro acto jurídico que especifique el objeto, la duración, la naturaleza, la finalidad, el tipo de datos y las categorías de interesados.
5. Verificar que el contrato contenga las obligaciones específicas requeridas para el encargado, no solo una referencia general al RGPD.

04

Ejemplo hipotético

Una empresa de software de gestión trata los datos de clientes de una empresa manufacturera según las instrucciones documentadas de esta última: en este escenario hipotético, la empresa manufacturera es responsable y el proveedor de software es encargado. Si el proveedor recurriera a otro proveedor para el alojamiento, necesitaría la autorización escrita del responsable e impondría al proveedor de alojamiento las mismas obligaciones de protección de datos previstas en el contrato original.

05

Elementos que el contrato con el encargado debe contener

• Una instrucción documentada del responsable como único fundamento del tratamiento por parte del encargado.
• Un compromiso de confidencialidad de las personas autorizadas a tratar los datos.
• Medidas técnicas y organizativas adecuadas conforme al artículo 32.
• Condiciones para recurrir a un subencargado, incluyendo las mismas garantías de protección de datos.
• Asistencia al responsable para responder a las solicitudes de los interesados y para cumplir las obligaciones de los artículos 32 a 36.
• Supresión o devolución de los datos al finalizar el servicio, salvo obligación legal de conservación.
• Puesta a disposición de la información necesaria para demostrar el cumplimiento y permitir auditorías.

06

Cómo organizar roles y evidencias con un socio de software

Una organización puede optar por configurar, junto con su socio de software, un registro claro de quién es responsable y quién es encargado para cada tratamiento, con contratos vinculados y fecha de actualización. Es una elección operativa recomendada, no una obligación derivada de una función específica del software.

También puede valer la pena definir quién en la empresa aprueba el uso de subencargados y quién verifica periódicamente que los contratos contengan las obligaciones requeridas, manteniendo un registro de las instrucciones documentadas dadas a los encargados.

07

En la práctica, en tres pasos

Pasos

1. Mapear quién decide los fines y los medios para cada tratamiento de datos personales en la empresa.
2. Redactar o revisar el contrato con cada encargado, incluyendo todas las obligaciones requeridas.
3. Revisar periódicamente las cadenas de subencargados y las autorizaciones concedidas.

08

Siguiente paso

Revise los contratos de tratamiento existentes y compare cada cláusula con las obligaciones enumeradas en esta checklist antes de la próxima revisión contractual.