Responsable del Tratamiento

El responsable del tratamiento es uno de los conceptos más fundamentales del Reglamento General de Protección de Datos (RGPD). Definido en el Artículo 4(7), el responsable es la entidad que determina el "por qué" y el "cómo" del tratamiento de datos personales: decide los fines para los que se tratan los datos personales y los medios esenciales utilizados para dicho tratamiento.

La condición de responsable se determina por las circunstancias fácticas, no meramente por la designación contractual. Una entidad que en la práctica toma las decisiones clave sobre el tratamiento de datos es responsable, independientemente de cómo se denomine a sí misma. Este enfoque fáctico implica que las organizaciones no pueden eludir las responsabilidades de responsable del tratamiento simplemente declarándose encargados en sus contratos. El Comité Europeo de Protección de Datos (CEPD) ha publicado orientaciones detalladas sobre la distinción entre responsables y encargados.

Los responsables del tratamiento soportan la carga principal de cumplimiento del RGPD. Deben implementar medidas técnicas y organizativas apropiadas para garantizar y demostrar el cumplimiento (el principio de responsabilidad proactiva), mantener registros de actividades de tratamiento, realizar Evaluaciones de Impacto en la Protección de Datos para tratamientos de alto riesgo, designar un Delegado de Protección de Datos cuando sea necesario, implementar la protección de datos desde el diseño y por defecto, y asegurar que exista una base jurídica válida para cada actividad de tratamiento.

En los supuestos de corresponsabilidad, cuando dos o más responsables determinan conjuntamente los fines y medios del tratamiento, el Artículo 26 del RGPD les exige determinar sus respectivas responsabilidades mediante un acuerdo transparente. Los interesados pueden ejercer sus derechos frente a cualquiera de los corresponsables, independientemente del acuerdo interno.