Encargado vs Responsable del tratamiento: Implicaciones contractuales sobre protección de datos
En el ámbito de la protección de datos, una de las distinciones más relevantes y, a la vez, más frecuentemente mal interpretadas, es la que existe entre el responsable del tratamiento y el encargado del tratamiento. Esta diferenciación no es meramente conceptual, sino que tiene importantes consecuencias jurídicas, especialmente en el plano contractual.
La correcta identificación de cada figura resulta esencial para cumplir con las obligaciones establecidas en el Reglamento (UE) 2016/679, conocido como RGPD, y en la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Además, condiciona la redacción de contratos, la distribución de responsabilidades y el régimen de responsabilidad frente a posibles infracciones.
¿Quién es el responsable del tratamiento?
El artículo 4 del RGPD define al responsable del tratamiento como aquel que “determina los fines y medios del tratamiento”. Es decir, quien determina por qué y para qué se recogen y utilizan los datos.
En la práctica, suele coincidir con la empresa u organización que presta un servicio o desarrolla una actividad y que necesita tratar datos personales para ello.
Desde el punto de vista de la protección de datos, el responsable asume un papel central, ya que:
- Debe garantizar que el tratamiento cumple con los principios del RGPD (licitud, transparencia, minimización, etc.).
- Es quien responde ante los interesados y ante la autoridad de control.
- Debe implementar medidas técnicas y organizativas adecuadas.
En definitiva, el responsable del tratamiento es quien ostenta el control sobre el uso de los datos personales.
¿Qué es el encargado del tratamiento?
El encargado del tratamiento, por su parte, es quien trata datos personales por cuenta del responsable. No decide sobre los fines ni sobre los medios esenciales del tratamiento, sino que actúa siguiendo las instrucciones del responsable.
Ejemplos habituales de encargados del tratamiento son:
- Empresas de servicios informáticos (hosting, mantenimiento, software).
- Asesorías laborales o fiscales.
- Plataformas de email marketing o CRM.
En estos casos, el encargado accede a datos personales para prestar un servicio, pero no puede utilizarlos para fines propios.
En materia de protección de datos, el encargado tiene obligaciones específicas, aunque su papel es subordinado al del responsable.
El contrato de encargo de tratamiento: pieza clave
Uno de los elementos esenciales en la relación entre responsable y encargado es el contrato de encargo de tratamiento, regulado en el artículo 28 del RGPD.
Este contrato no es una mera formalidad, sino una exigencia legal imprescindible en materia de protección de datos. Su ausencia puede dar lugar a sanciones.
Contenido mínimo del contrato
El RGPD establece que el contrato debe incluir, como mínimo:
- Objeto, duración, naturaleza y finalidad del tratamiento.
- Tipo de datos personales y categorías de interesados.
- Obligaciones y derechos del responsable.
- Compromiso del encargado de tratar los datos únicamente siguiendo instrucciones documentadas.
- Garantía de confidencialidad.
- Medidas de seguridad aplicables.
- Régimen de subcontratación (subencargados).
- Asistencia al responsable en el ejercicio de derechos de los interesados.
- Destino de los datos una vez finalice el servicio.
Además, la LOPDGDD refuerza estas exigencias y adapta su aplicación al contexto español.
Naturaleza jurídica del contrato
Desde el punto de vista del derecho contractual, este acuerdo suele configurarse como un contrato de prestación de servicios, al que se añaden cláusulas específicas en materia de protección de datos.
Por ello, también le resultan de aplicación las disposiciones generales del Código Civil español en materia de contratos (artículos 1254 y siguientes), en particular en lo relativo al consentimiento, objeto y causa.
La correcta redacción de este contrato es clave para delimitar responsabilidades y evitar conflictos.
Responsabilidad y régimen sancionador
En materia de protección de datos, tanto el responsable como el encargado pueden ser sancionados por incumplimientos del RGPD.
No obstante, el régimen de responsabilidad varía:
- El responsable responde por cualquier tratamiento ilícito.
- El encargado responde cuando incumple sus obligaciones específicas o actúa fuera de las instrucciones recibidas.
El artículo 82 del RGPD establece que ambos pueden ser responsables de los daños causados, pudiendo exigirse una indemnización a cualquiera de ellos. Posteriormente, entre ellos podrán reclamarse según su grado de responsabilidad.
Esto refuerza la importancia de establecer claramente las obligaciones contractuales y documentar adecuadamente las instrucciones.
Subcontratación y cadena de encargados
En la práctica, es frecuente que el encargado recurra a terceros para prestar el servicio (por ejemplo, proveedores tecnológicos). En estos casos, hablamos de subencargados del tratamiento.
El RGPD exige que:
- El responsable autorice previamente la subcontratación.
- El subencargado asuma las mismas obligaciones que el encargado inicial.
- Exista un contrato que regule esta relación.
Esto genera una cadena de responsabilidades que debe estar perfectamente documentada.
Desde la perspectiva de la protección de datos, cualquier fallo en esta cadena puede implicar responsabilidades para todos los intervinientes.
Riesgos habituales y errores frecuentes
En la práctica profesional, es común encontrar errores que pueden comprometer el cumplimiento normativo:
- No formalizar el contrato de encargo de tratamiento.
- Utilizar modelos genéricos sin adaptarlos al caso concreto.
- No identificar correctamente si una entidad actúa como responsable o encargado.
- Permitir usos de datos no autorizados por parte del encargado.
- No regular adecuadamente la subcontratación.
Estos errores pueden derivar en sanciones económicas significativas por parte de la Agencia Española de Protección de Datos (AEPD).
Importancia estratégica de una correcta delimitación
La distinción entre responsable y encargado del tratamiento no es una cuestión teórica, sino un elemento central en el cumplimiento de la normativa de protección de datos. Sus implicaciones contractuales afectan directamente a la distribución de responsabilidades, la seguridad jurídica y la prevención de riesgos.
El RGPD y la Ley Orgánica 3/2018 establecen un marco claro, pero su correcta aplicación requiere un análisis detallado de cada caso y una adecuada redacción contractual.
Contar con asesoramiento especializado permite no solo cumplir con la normativa, sino también anticiparse a posibles contingencias. En este sentido, el despacho Sirera y Saval ofrece apoyo jurídico para garantizar que las relaciones entre responsables y encargados del tratamiento se ajusten plenamente a las exigencias legales en materia de protección de datos.
