Cómo determinar responsable, encargado y corresponsable en operaciones reales de tratamiento

Hay cuestiones en protección de datos que parecen claras cuando se explican en abstracto, pero que se vuelven difíciles cuando bajan a la realidad de una organización.

La diferencia entre responsable y encargado del tratamiento es una de ellas.

En teoría, la regla es conocida: el responsable decide los fines y los medios del tratamiento; el encargado trata datos personales por cuenta del responsable. El RGPD lo formula así y las guías europeas lo han explicado muchas veces.

El problema aparece cuando esa regla se aplica a ecosistemas reales: proveedores tecnológicos, plataformas SaaS, servicios cloud, herramientas de marketing, soluciones de recursos humanos, software de inteligencia artificial, call centers, marketplaces, servicios externalizados, integraciones mediante API o cadenas de subcontratación donde varias entidades intervienen en una misma operación.

En esos escenarios, la pregunta ya no es tan sencilla.

¿El proveedor es encargado porque presta un servicio?
¿Es responsable porque tiene una plataforma propia?
¿Hay corresponsabilidad porque ambas partes se benefician del servicio?
¿Una entidad puede ser encargada en una fase y responsable en otra?
¿Basta con que el contrato diga que cada parte actúa como responsable independiente?

El criterio reciente de la Agencia Española de Protección de Datos sobre la delimitación funcional entre responsable y encargado del tratamiento en ecosistemas logísticos y tecnológicos ayuda a responder estas preguntas. Aunque el caso nace de un entorno concreto, sus lecciones son mucho más amplias.

La idea de fondo es sencilla, pero muy exigente:

los roles no se declaran; se acreditan.

No basta con decir en un contrato que una entidad es responsable, encargada o corresponsable. Hay que demostrar que esa calificación responde a lo que realmente ocurre con los datos.

El error de empezar por la etiqueta

Uno de los errores más frecuentes consiste en empezar el análisis por la etiqueta contractual.

“El proveedor será responsable independiente.”
“El proveedor actuará como encargado.”
“Las partes serán corresponsables.”

Estas fórmulas pueden ser correctas, pero solo si reflejan la realidad del tratamiento. El contrato importa, por supuesto. Ayuda a ordenar la relación, documenta obligaciones y ofrece una primera evidencia. Pero el contrato no puede cambiar la naturaleza real de lo que ocurre.

Si una entidad trata datos personales para ejecutar una finalidad definida por otra, bajo instrucciones y sin decidir el porqué del tratamiento, difícilmente bastará con llamarla responsable independiente.

Y si una entidad recibe datos como encargada, pero después los usa para una finalidad propia, tampoco bastará con decir que todo queda cubierto por el encargo inicial.

La calificación de roles exige mirar más allá de la cláusula.

Hay que mirar la finalidad, las operaciones, las decisiones esenciales, las instrucciones y los usos posteriores.

La pregunta correcta no es quién es el proveedor, sino qué hace con los datos

A veces preguntamos mal.

No deberíamos empezar diciendo: “¿este proveedor es responsable o encargado?”.

La pregunta correcta es más concreta:

¿qué papel desempeña esta entidad respecto de esta operación de tratamiento y para esta finalidad determinada?

Esta diferencia es importante porque una misma entidad puede ocupar roles distintos según el tratamiento analizado.

Puede actuar como encargada cuando presta un servicio por cuenta de otra organización.
Puede actuar como responsable cuando decide una finalidad propia.
Puede llegar a ser corresponsable si participa conjuntamente en la determinación de los fines y medios esenciales.
Y puede pasar de una posición a otra si reutiliza datos para una finalidad posterior no cubierta por las instrucciones iniciales.

Por eso no conviene analizar a la entidad en abstracto. Hay que analizar la operación.

La finalidad es el punto de partida

Figura 1. Mapa funcional de roles. La determinación del rol no parte de la etiqueta contractual, sino de la función real que cada entidad desempeña respecto de una finalidad concreta: decidir, ejecutar por cuenta ajena, decidir conjuntamente o reutilizar datos para una finalidad propia.

Para determinar roles, la primera pregunta siempre debería ser:

¿para qué se tratan los datos?

Sin finalidad no hay análisis serio. La finalidad permite saber quién decide el sentido del tratamiento y quién actúa para ejecutar una finalidad ajena.

Si una organización decide que necesita tratar determinados datos para prestar su servicio, gestionar una relación, cumplir una obligación o desarrollar una actividad propia, esa organización se sitúa normalmente en la posición de responsable.

Si otra entidad trata esos datos para ayudar a ejecutar esa finalidad, sin decidirla por sí misma, podrá actuar como encargada.

Si ambas entidades deciden conjuntamente la finalidad y los medios esenciales, podrá existir corresponsabilidad.

Y si una entidad que recibió datos para una finalidad ajena los utiliza después para una finalidad propia, deberá analizarse ese nuevo uso como un tratamiento diferenciado.

La finalidad ordena todo el análisis.

No toda autonomía técnica convierte al proveedor en responsable

En los entornos tecnológicos actuales, muchos proveedores tienen un alto grado de autonomía.

Tienen sus propias plataformas, sus propios sistemas, sus propios procedimientos internos, sus propias medidas de seguridad y, muchas veces, más conocimiento técnico que la organización que los contrata.

Pero esa autonomía técnica no basta, por sí sola, para convertirlos en responsables del tratamiento.

Un encargado puede decidir aspectos técnicos o prácticos del servicio: cómo organiza internamente la prestación, qué infraestructura utiliza, cómo configura determinados controles, qué herramientas emplea dentro del marco pactado o cómo aplica medidas de seguridad.

Eso no significa necesariamente que decida la finalidad del tratamiento.

La clave está en distinguir entre medios técnicos de ejecución y medios esenciales del tratamiento.

Los medios esenciales afectan al núcleo de la decisión: qué datos se tratan, sobre qué personas, para qué finalidad, durante cuánto tiempo, quién accede a ellos y qué usos se permiten.

Cuando una entidad decide esos elementos esenciales, el análisis se acerca a la posición de responsable. Cuando solo ejecuta técnicamente una finalidad definida por otra, puede seguir siendo encargada.

El artículo 28 RGPD no es una formalidad

Cuando una entidad trata datos personales por cuenta de otra, el contrato de encargo del artículo 28 RGPD no es un simple documento administrativo.

Es la pieza que ordena jurídicamente el tratamiento por cuenta ajena.

Debe definir, entre otras cuestiones, el objeto, duración, naturaleza y finalidad del tratamiento; el tipo de datos personales; las categorías de interesados; las obligaciones del responsable; las instrucciones documentadas; las medidas de seguridad; el régimen de subencargos; la asistencia en derechos y brechas; y la devolución o supresión de datos al finalizar la prestación.

Por eso, cuando existe una relación responsable–encargado y no se formaliza correctamente el artículo 28, no estamos ante un mero defecto de papeles.

Estamos ante una debilidad de gobierno.

Sin instrucciones claras, los límites del tratamiento se vuelven difusos.
Sin reglas sobre conservación, los datos pueden permanecer más tiempo del necesario.
Sin control de subencargos, la cadena se vuelve opaca.
Sin asistencia documentada, el responsable puede quedar expuesto ante derechos, incidentes o auditorías.
Sin reglas sobre usos propios, el proveedor puede acabar tratando datos más allá de lo permitido.

La función del artículo 28 es precisamente evitar esa zona gris.

Los usos posteriores son el punto más delicado

Muchos problemas no aparecen en el momento inicial de acceso a los datos, sino después.

Un proveedor recibe datos para prestar un servicio. Hasta ahí, puede estar actuando como encargado. Pero más tarde conserva esos datos, los incorpora a una base propia, los utiliza para comunicaciones comerciales, los analiza para mejorar su producto, los cruza con otras fuentes, los usa para entrenar modelos o los integra en perfiles propios.

Ahí la pregunta cambia.

Ese uso posterior, ¿estaba cubierto por la finalidad inicial?
¿Formaba parte de las instrucciones recibidas?
¿Se informó de forma adecuada?
¿Existe una base jurídica propia?
¿Se respetan la minimización y la limitación de la finalidad?
¿Puede acreditarse que ese uso es legítimo y proporcionado?

No toda desviación convierte automáticamente al encargado en responsable. Conviene ser precisos. Pero cuando aparece una finalidad propia o una decisión autónoma sobre medios esenciales, el tratamiento debe analizarse de nuevo.

El dato puede haber entrado bajo una lógica de encargo y terminar siendo usado bajo una lógica de responsabilidad propia.

Por eso hay que seguir el dato durante todo su ciclo de vida.

La corresponsabilidad no es una solución para todo

También hay que evitar otro error: utilizar la corresponsabilidad como categoría comodín.

Que dos entidades colaboren no significa necesariamente que sean corresponsables.
Que exista integración tecnológica tampoco.
Que ambas obtengan un beneficio económico tampoco.
Que los sistemas estén conectados tampoco.

La corresponsabilidad exige algo más: una decisión conjunta, efectiva y relevante sobre los fines y los medios esenciales del tratamiento.

Esto obliga a analizar con cuidado qué decide cada parte.

Si una entidad define la finalidad y otra ejecuta operaciones por cuenta de la primera, probablemente estaremos ante responsable y encargado.

Si cada entidad decide sus propias finalidades, estaremos ante responsables independientes.

Si ambas diseñan conjuntamente el tratamiento, deciden para qué se tratan los datos y comparten decisiones esenciales sobre cómo se desarrolla, podrá existir corresponsabilidad.

La complejidad no debe llevarnos a escoger la categoría que parece más cómoda. Debe llevarnos a documentar mejor la realidad.

Una forma sencilla de ordenar el análisis

Para no perderse, puede ser útil trabajar con cuatro fórmulas prácticas.

Responsable
Es quien decide la finalidad del tratamiento y los medios esenciales.

Encargado
Es quien trata datos personales por cuenta de otra entidad, dentro de una finalidad ajena y conforme a instrucciones documentadas.

Corresponsable
Existe cuando dos o más entidades deciden conjuntamente, de forma efectiva, los fines y medios esenciales del tratamiento.

Tratamiento ulterior propio
Aparece cuando una entidad reutiliza datos para una finalidad propia no cubierta por las instrucciones iniciales. En ese caso necesitará base jurídica propia, transparencia suficiente y cumplimiento del resto de principios del RGPD.

Estas fórmulas no sustituyen el análisis jurídico de cada caso, pero ayudan a plantear bien las preguntas.

Figura 2. Árbol de decisión funcional. La calificación del rol debe seguir una secuencia ordenada: identificar quién decide la finalidad, comprobar si existe actuación por cuenta ajena, verificar si hay decisión conjunta real y revisar posibles usos posteriores del dato.

Preguntas que conviene hacerse antes de decidir el rol

Antes de firmar un contrato, activar una herramienta o incorporar un proveedor, conviene detenerse y responder algunas preguntas básicas.

¿Cuál es la finalidad concreta del tratamiento?
¿Qué operaciones forman parte de esa finalidad?
¿Qué datos personales se tratan?
¿Qué personas se ven afectadas?
¿Quién decide que el tratamiento exista?
¿Quién decide para qué se tratan los datos?
¿Quién decide los medios esenciales?
¿La otra entidad actúa para una finalidad propia o por cuenta de otra?
¿Existen instrucciones documentadas?
¿Procede un contrato de encargo del artículo 28 RGPD?
¿Hay usos posteriores no cubiertos por la finalidad inicial?
¿Existen subencargados?
¿Se han definido plazos de conservación?
¿Se puede probar la calificación elegida?

La última pregunta es la más importante.

En protección de datos no basta con tener una respuesta. Hay que poder explicarla y acreditarla.

De la cláusula a la evidencia

Una delimitación seria de roles necesita evidencias.

No basta con una cláusula genérica. Conviene poder mostrar contratos, anexos, instrucciones, mapas de flujo, registros de actividades, configuraciones, pantallas, logs, políticas de conservación, análisis de proveedores, autorizaciones de subencargo, evidencias de supresión o devolución de datos y documentación sobre posibles usos posteriores.

La responsabilidad proactiva exige pasar de la declaración a la prueba.

Una organización debería poder explicar por qué una entidad es responsable, encargada o corresponsable respecto de una operación concreta. Y debería poder hacerlo con documentos, decisiones registradas y evidencias verificables.

Figura 3. Errores frecuentes y evidencias relevantes. La delimitación funcional de roles no se sostiene con fórmulas genéricas: exige evitar calificaciones automáticas y conservar evidencias que permitan acreditar finalidad, instrucciones, flujos, subencargos, conservación y usos posteriores.

La frase resume bien el enfoque:

los roles no se declaran: se acreditan.

Una lección aplicable más allá del caso concreto

Aunque el criterio de la AEPD surge a partir de un supuesto vinculado a servicios logísticos y tecnológicos, la enseñanza es mucho más amplia.

Sirve para proveedores cloud.
Sirve para plataformas SaaS.
Sirve para herramientas de marketing.
Sirve para soluciones de recursos humanos.
Sirve para servicios de analítica.
Sirve para proveedores de inteligencia artificial.
Sirve para call centers.
Sirve para marketplaces.
Sirve para administraciones públicas que externalizan servicios.
Sirve para cualquier organización que dependa de terceros para tratar datos personales.

La cuestión no es el sector. La cuestión es el método.

Primero, identificar la finalidad.
Después, delimitar las operaciones.
Luego, analizar quién decide los medios esenciales.
A continuación, verificar si existen instrucciones documentadas.
Finalmente, revisar usos posteriores y evidencias disponibles.

Ese orden permite tomar mejores decisiones y evitar calificaciones defensivas, genéricas o simplemente heredadas de contratos anteriores.

Folleto práctico sobre delimitación funcional de roles

Para facilitar este análisis, hemos preparado un folleto técnico-jurídico sobre la delimitación funcional entre responsable, encargado y corresponsable.

No es un dictamen jurídico ni sustituye el análisis individualizado que debe realizar cada organización. Su finalidad es más sencilla: ayudar a ordenar preguntas, identificar riesgos de mala calificación y reforzar la documentación de evidencias.

El folleto incluye:

• las principales lecciones del criterio de la AEPD;
• una tesis práctica sobre la delimitación funcional de roles;
• fórmulas para identificar responsable, encargado, corresponsable y tratamientos ulteriores;
• un árbol de decisión funcional;
• errores frecuentes en ecosistemas tecnológicos;
• y una checklist de evidencias.

La protección de datos se gobierna mejor cuando las decisiones se documentan, se explican y se pueden comprobar.

Porque la pregunta decisiva no es qué dice una cláusula de forma aislada.

La pregunta decisiva es esta:

¿quién decide realmente para qué se tratan los datos, con qué medios esenciales, bajo qué instrucciones, para qué usos posteriores y con qué evidencias?

Acceso al descriptivo y plantillas:

Enlace a la carpeta con el descriptivo y planillas excel

Bibliografía:

Delimitación funcional entre responsable y encargado del tratamiento en ecosistemas logísticos y tecnológicos complejos. https://www.aepd.es/informes-y-resoluciones/criterios-juridicos-aepd/delimitacion-funcional-entre-responsable-y-encargado-tratamiento-ecosistemas-logisticos-y-tecnologicos