En el ecosistema de la protección de datos, pocas figuras generan tanta confusión como el encargado del tratamiento. Empresas que externalizan servicios, plataformas tecnológicas que gestionan datos de sus clientes, proveedores de nube o de recursos humanos… todos pueden ostentar este papel sin saberlo del todo. Entender qué es, qué obligaciones conlleva y cómo se articula su relación con el responsable del tratamiento es fundamental para cualquier organización que opere bajo el Reglamento General de Protección de Datos (RGPD).
¿Qué es el encargado del tratamiento?
El artículo 4.8 del RGPD define al encargado del tratamiento como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”.
La clave está en esa expresión: por cuenta del responsable. El encargado no decide por qué se tratan los datos ni para qué fin último sirven; simplemente los procesa siguiendo las instrucciones de quien sí toma esas decisiones: el responsable. Es una distinción aparentemente sencilla, pero con consecuencias jurídicas enormes.
Algunos ejemplos habituales de encargados del tratamiento:
- Una empresa de nóminas o gestión de RRHH que procesa datos de empleados de sus clientes.
- Un proveedor de servicios en la nube (SaaS, IaaS) que aloja bases de datos con información personal.
- Una agencia de marketing digital que accede a la base de contactos de un cliente para enviar campañas.
- Un call center externalizado que gestiona llamadas con datos de usuarios.
- Una consultora de ciberseguridad que accede a sistemas con datos personales durante una auditoría.
La relación con el responsable: el contrato de encargo
La relación entre responsable y encargado no puede ser informal. El artículo 28 del RGPD exige que quede formalizada mediante un contrato de encargo de tratamiento (o cualquier otro acto jurídico vinculante) que establezca de forma explícita:
- El objeto, duración, naturaleza y finalidad del tratamiento.
- El tipo de datos personales y las categorías de interesados afectados.
- Las obligaciones y derechos del responsable.
- La instrucción de que el encargado solo tratará los datos según instrucciones documentadas del responsable.
- La obligación de confidencialidad por parte del personal del encargado.
- La implementación de medidas de seguridad adecuadas (artículo 32 RGPD).
- Las condiciones para subcontratar (subencargados).
- La asistencia al responsable en el ejercicio de derechos de los interesados.
- El destino de los datos al finalizar la relación: supresión o devolución.
En Dataseg, parte de nuestros servicios de asesoría y consultoría pasan por ayudar a nuestros clientes a evaluar a sus proveedores y a redactar y revisar estos contratos para que cumplan con todos los requisitos del RGPD. Si necesitas orientación, puedes consultar nuestro servicio de consultoría para adecuación al RGPD.
Obligaciones propias del encargado del tratamiento
Una idea errónea muy extendida es que el encargado es un mero ejecutor sin responsabilidad propia. El RGPD deja claro que esto no es así. El encargado, pese a que actúa siguiendo instrucciones del responsable, tiene obligaciones directas e independientes:
1. Actuar únicamente según instrucciones del responsable
Precisamente, como ya indicábamos, el encargado no puede usar los datos para fines propios. Si lo hace, podría pasar a ser considerado responsable del tratamiento para ese uso concreto, con todas las consecuencias y atribución de responsabilidades que ello implica.
2. Mantener un registro de actividades de tratamiento
Aunque el artículo 30.5 del RGPD exime de esta obligación a organizaciones con menos de 250 empleados en ciertos casos, la Agencia Española de Protección de Datos (AEPD) recomienda que todos los encargados mantengan su propio registro. Es una buena práctica y, en muchos supuestos reales, una obligación efectiva.
3. Aplicar medidas de seguridad técnicas y organizativas
El encargado debe garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. Esto incluye, según corresponda: cifrado, seudonimización, planes de continuidad, gestión de accesos, etc.
4. Notificar las brechas de seguridad
Si el encargado sufre una brecha de seguridad que afecta a datos del responsable, debe notificárselo sin dilación indebida para que el responsable pueda cumplir con su obligación de comunicarla a la autoridad de control en 72 horas. Puedes ampliar información en nuestro artículo sobre esto visitando el apartado que la AEPD dedica en su web a la notificación de brechas de seguridad que puedan afectar a datos personales.
5. Colaborar en las evaluaciones de impacto (EIPD)
Cuando el responsable deba realizar una Evaluación de Impacto relativa a la Protección de Datos, el encargado está obligado a prestarle la asistencia necesaria.
6. Designar un Delegado de Protección de Datos (DPD) si procede
El encargado, al igual que el responsable, puede estar obligado a designar un DPD en función de la naturaleza, alcance y finalidades de los tratamientos que realice. Si no tienes claro si tu empresa u organización debe nombrar un delegado de protección de datos, aquí podrás resolver tus dudas.
El subencargado: cuando el encargado delega
El encargado puede, a su vez, subcontratar parte del tratamiento a un tercero: el subencargado. Es lo que pasa cuando tu proveedor, a su vez, externaliza o subcontrata los servicios (o parte de ellos) que te presta. Sin embargo, esto requiere autorización previa del responsable, ya sea específica (para cada subencargado) o general (con derecho del responsable a oponerse en casos concretos).
El encargado principal sigue siendo plenamente responsable ante el responsable del tratamiento del cumplimiento del subencargado. Si el subencargado incumple, el encargado responde. Esta cadena de responsabilidad hace imprescindible que los contratos con subencargados reflejen las mismas garantías que el contrato original.
¿Responsable o encargado? Una distinción que no siempre es obvia
En la práctica, determinar si una entidad actúa como responsable o encargado puede ser complejo. El Comité Europeo de Protección de Datos (CEPD) publicó las Directrices 07/2020, que constituyen la referencia esencial para resolver estos casos. Algunos criterios orientadores:
- ¿Quién decide para qué se usan los datos? → Responsable.
- ¿Quién decide cómo se usan, dentro de los márgenes fijados por otro? → Encargado.
- ¿Actúa la entidad bajo instrucciones externas o de forma autónoma? → Encargado vs. responsable.
En cualquier caso, es muy habitual encontrarnos con supuestos en que una misma entidad puede ser responsable para algunos tratamientos y encargada para otros, lo que añade aún más complejidad al análisis. Por ejemplo: una asesoría fiscal actuaría como responsable sobre los datos de sus empleados, pero sería encargada respecto a los datos que le remiten sus clientes (como las facturas, por poner un caso).
Consecuencias del incumplimiento
Las infracciones relacionadas con el contrato de encargo o con las obligaciones propias del encargado pueden conllevar sanciones de hasta 10 millones de euros o el 2 % del volumen de negocio anual global, según el artículo 83.4 del RGPD. Las infracciones más graves pueden llegar al doble: 20 millones o el 4 %.
Hace unos años, por poner un ejemplo, la AEPD sancionó con 10.000 euros de multa a una empresa energética que actuaba como encargada del tratamiento por contratar a un subencargado (otra empresa que realizaba gestiones telefónicas) sin haber informado previamente al responsable del tratamiento ni haber obtenido su autorización para ello.
Más allá de la sanción económica, el incumplimiento puede generar responsabilidad civil frente a los interesados cuyos derechos hayan sido vulnerados, así como un grave daño reputacional para ambas partes.
Conclusión
El encargado del tratamiento es una figura central en la arquitectura de cumplimiento del RGPD. No es un mero ejecutor neutro: tiene obligaciones propias, puede ser sancionado directamente y su actuación condiciona el cumplimiento de toda la cadena. Una relación bien definida entre responsable y encargado, articulada en un contrato sólido y revisada periódicamente, es la base de una gestión responsable de los datos personales.
Si tienes dudas sobre si tu empresa actúa como responsable o encargada en alguno de sus procesos, o necesitas revisar tus contratos de encargo, en Dataseg podemos ayudarte. Contáctanos o consulta nuestros servicios si quieres saber más.