Responsable y encargado del tratamiento: cómo distinguirlos según el RGPD

01

Quién es el responsable y quién el encargado

El RGPD define al responsable del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento de datos personales. El encargado del tratamiento, en cambio, es quien trata los datos personales por cuenta del responsable, siguiendo sus instrucciones.

02

Por qué la distinción importa operativamente

Cuando una organización encomienda tratamientos a un proveedor externo, la relación debe regirse por un contrato u otro acto jurídico que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados, así como los derechos y obligaciones del responsable.

03

Pasos para formalizar correctamente la relación

Pasos

1. Identificar quién determina los fines y medios del tratamiento: esa parte es el responsable.
2. Verificar si el proveedor trata los datos solo según instrucciones documentadas del responsable.
3. Preparar un contrato que incluya los elementos previstos en el artículo 28: duración, naturaleza, fines, datos y derechos.
4. Si el encargado recurre a un subencargado, obtener autorización escrita previa del responsable.
5. Imponer al subencargado las mismas obligaciones de protección de datos previstas en el contrato original.

04

Un caso hipotético

Ejemplo hipotético: una empresa europea (responsable) decide recopilar datos de clientes para la facturación y encomienda el procesamiento a un proveedor de software de gestión (encargado). El proveedor trata los datos solo según las instrucciones documentadas del responsable y, si subcontrata parte del servicio a otro proveedor, debe obtener previamente la autorización escrita de la empresa contratante.

05

Elementos que debería contener el contrato

• Instrucciones documentadas del responsable como única base del tratamiento.
• Compromiso de confidencialidad de las personas autorizadas a tratar los datos.
• Medidas de seguridad adecuadas conforme al artículo 32.
• Condiciones para recurrir a otro encargado del tratamiento.
• Asistencia al responsable respecto a los derechos de los interesados y la eliminación o devolución de los datos al finalizar el servicio.

06

Organizar los roles con un socio de software

Una empresa puede pedir a su socio de software que mapee quién es responsable y quién es encargado para cada flujo de datos, manteniendo un registro de las instrucciones documentadas recibidas y de los fines autorizados.

Es posible configurar procesos de revisión periódica del contrato de tratamiento, con registro de las autorizaciones concedidas a eventuales subencargados y de la información proporcionada al responsable en caso de cambios previstos.

07

Aclaraciones frecuentes

• La distinción se basa en quién decide los fines y medios del tratamiento, no en el tipo de actividad realizada.
• Un encargado solo puede recurrir a un subencargado con autorización escrita, específica o general, del responsable.
• Si el subencargado no cumple sus obligaciones, el encargado inicial sigue siendo plenamente responsable ante el responsable del tratamiento.

08

Próximo paso práctico

Antes de encomendar un tratamiento a un proveedor, verifique que el contrato contenga todos los elementos previstos en el artículo 28 y pida al proveedor que documente cómo gestiona a los eventuales subencargados.