01
La diferencia en resumen
El responsable del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que determina los fines y medios del tratamiento de datos personales. El encargado del tratamiento, en cambio, trata los datos por cuenta del responsable, sin decidir de forma autónoma por qué y cómo se usan los datos.
02
Por qué esta distinción importa
El RGPD también distingue al destinatario, es decir, quien recibe una comunicación de datos personales, sea o no un tercero. Comprender quién es el responsable, quién es el encargado y quién es simplemente destinatario permite atribuir correctamente obligaciones y responsabilidades antes de que surja un problema.
03
Cómo formalizar la relación
Pasos
- Identificar quién decide los fines y medios del tratamiento: ese es el responsable.
- Celebrar un contrato o acto jurídico que vincule al encargado con el responsable.
- Especificar en el contrato el objeto, la duración, la naturaleza, la finalidad, el tipo de datos y las categorías de interesados.
- Obtener autorización escrita, específica o general, antes de que el encargado contrate a otro encargado.
- Si la autorización es general, prever que el encargado informe al responsable de cualquier cambio futuro.
04
Un caso hipotético
Ejemplo hipotético: una empresa responsable encarga la gestión de nóminas a un proveedor externo. El contrato establece que el proveedor trate los datos solo según instrucciones documentadas de la empresa, salvo obligación legal, en cuyo caso informa al responsable antes de proceder. Si el proveedor quiere subcontratar parte del trabajo a otro encargado, debe obtener primero la autorización escrita de la empresa.
05
Obligaciones típicas del encargado en el contrato
- Tratar los datos solo según instrucciones documentadas del responsable.
- Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- Adoptar las medidas técnicas y organizativas requeridas por el artículo 32.
- Ayudar al responsable a responder a las solicitudes de los interesados.
- Eliminar o devolver los datos al finalizar la prestación, salvo obligación legal en contrario.
06
Cómo organizar los roles con un software de gestión
Una empresa puede optar por configurar, junto con su socio de software, una lista clara de quién es responsable y quién es encargado para cada tratamiento, con trazabilidad de las instrucciones documentadas y de las autorizaciones a otros encargados. Es una elección operativa útil que cada cambio de proveedores de tratamiento quede registrado y sea revisable, para poder demostrar en todo momento el cumplimiento de las obligaciones contractuales.
07
Preguntas frecuentes sobre responsable y encargado
¿Puede el encargado subcontratar el tratamiento? Sí, pero solo con autorización escrita del responsable e imponiendo al otro encargado las mismas obligaciones de protección de datos previstas en el contrato original.
¿Quién sigue siendo responsable si el otro encargado no cumple? El encargado inicial conserva la responsabilidad total ante el responsable por el cumplimiento de las obligaciones del otro encargado.
08
Siguiente paso
Revisa los contratos existentes con tus proveedores de tratamiento de datos: asegúrate de que indiquen claramente instrucciones documentadas, duración, finalidad y condiciones para eventuales otros encargados.
FAQ
Preguntas frecuentes
¿Quién es el responsable del tratamiento según el RGPD?
La persona física o jurídica, autoridad pública, servicio u otro organismo que determina los fines y medios del tratamiento de datos personales.
¿Qué debe hacer el encargado antes de contratar a otro encargado?
Debe obtener una autorización escrita previa, específica o general, del responsable y, si es general, informarle de cualquier cambio previsto.
¿Qué ocurre si una instrucción del responsable viola el RGPD?
El encargado debe informar inmediatamente al responsable si, en su opinión, una instrucción viola el reglamento u otras disposiciones sobre protección de datos.
✓