Cuando una empresa contrata un software de gestión, una gestoría o una empresa de email marketing, se crea automáticamente una relación entre dos figuras que el RGPD define con precisión: el responsable del tratamiento y el encargado del tratamiento. Confundirlas —o ignorar su existencia— es uno de los errores más comunes en el cumplimiento y tiene consecuencias prácticas directas.
El responsable del tratamiento: quién decide
El responsable del tratamiento es la persona física o jurídica que determina los fines y los medios del tratamiento de datos personales. En términos simples: es quien decide para qué se usan los datos y cómo.
Si eres una empresa que recoge datos de clientes para facturar y hacer seguimiento comercial, eres el responsable del tratamiento. No puedes transferir esa condición a nadie. Puedes delegar la gestión técnica, pero la responsabilidad legal es tuya.
- Las obligaciones principales del responsable:
- Mantener el Registro de Actividades de Tratamiento actualizado.
- Definir y documentar las finalidades de cada tratamiento.
- Garantizar que existe base legal para cada tratamiento.
- Informar a los interesados sobre el tratamiento de sus datos.
- Atender el ejercicio de derechos (acceso, rectificación, supresión…).
- Asegurarse de que los encargados que contrata ofrecen garantías suficientes.
El encargado del tratamiento: quién ejecuta por cuenta del responsable
El encargado del tratamiento es cualquier persona física o jurídica que trata datos personales por cuenta del responsable. La clave: actúa bajo las instrucciones del responsable y solo puede usar los datos para los fines que este le ha indicado.
El encargado no puede usar los datos para sus propios fines. Si lo hace, pasa a actuar como responsable del tratamiento —con todas las obligaciones que eso implica— y comete una infracción del RGPD.
Sus obligaciones principales:
- Asistir al responsable en el cumplimiento de sus obligaciones (derechos de interesados, medidas de seguridad, notificación de brechas).
- Tratar los datos únicamente según las instrucciones documentadas del responsable.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a guardar confidencialidad.
- Adoptar las medidas de seguridad acordadas con el responsable.
- No subcontratar a otro encargado sin autorización del responsable.
Ejemplos prácticos: ¿quién es quién?
Para aclarar la distinción con casos reales:
- Tu gestoría que lleva las nóminas: encargada del tratamiento de datos de tus empleados. Necesita contrato de encargado firmado.
- Tu proveedor de CRM (Salesforce, HubSpot…): encargado del tratamiento de datos de tus clientes. Necesita contrato de encargado firmado.
- Tu empresa de email marketing (Mailchimp, ActiveCampaign…): encargada del tratamiento de tu base de datos de contactos. Necesita contrato de encargado firmado.
- Tu empresa de hosting o cloud (AWS, Google Cloud…): encargada del tratamiento de los datos alojados en sus servidores. El DPA suele estar en sus condiciones de servicio.
- Tu proveedor de videovigilancia (central de alarmas): encargado del tratamiento de las grabaciones. Necesita contrato de encargado firmado.
El patrón es siempre el mismo: si un proveedor accede a datos personales de tu empresa para prestarte un servicio, es un encargado del tratamiento.
Por qué importa en la práctica
La distinción entre responsable y encargado no es solo teórica. Tiene consecuencias directas:
Responsabilidad ante la AEPD: el responsable responde por el cumplimiento global. El encargado responde por el incumplimiento de sus obligaciones específicas. Ante una brecha causada por un encargado, ambos pueden ser sancionados.
Contratos obligatorios: el RGPD (artículo 28) exige que la relación entre responsable y encargado esté formalizada en un contrato o acto jurídico que recoja las instrucciones del responsable y las garantías del encargado.
Flujo de datos: no puedes compartir datos personales con un proveedor sin formalizar antes la relación de encargado del tratamiento.
El contrato de encargado del tratamiento: qué debe incluir
El artículo 28.3 del RGPD establece el contenido mínimo del contrato de encargado (también llamado DPA, Data Processing Agreement):
- Objeto y duración del tratamiento.
- Naturaleza y finalidad del tratamiento.
- Tipo de datos personales y categorías de interesados.
- Obligaciones y derechos del responsable.
- Obligaciones del encargado (confidencialidad, seguridad, subcontratación, asistencia, supresión o devolución al terminar).
Muchos proveedores tecnológicos (Google, Microsoft, Mailchimp) tienen su DPA estándar disponible en su web o configuración de cuenta. Para proveedores locales (gestoría, empresa de limpieza con acceso a oficinas, empresa de destrucción de documentos), debes redactar o firmar el contrato específicamente.
En los procesos de adecuación que gestionamos en Ubimia Compliance, la revisión de contratos con proveedores es siempre una de las tareas que más sorpresas da. Es habitual encontrar empresas que llevan años trabajando con proveedores que acceden a datos de sus clientes sin ningún contrato de encargo de tratamiento firmado.
Cómo documentar todos los encargados en el registro de actividades: Registro de actividades de tratamiento: qué es
El DPD gestiona todos los contratos con encargados del tratamiento → /proteccion-de-datos-para-empresas/