Encargado del tratamiento

El encargado del tratamiento, definido en el Artículo 4(8) del RGPD, es una entidad que trata datos personales por cuenta del responsable del tratamiento. A diferencia del responsable, el encargado no determina los fines y medios del tratamiento; actúa únicamente conforme a las instrucciones del responsable. Ejemplos habituales incluyen proveedores de servicios en la nube, empresas de gestión de nóminas y firmas de analítica que manejan datos personales según las instrucciones de sus clientes.

El Artículo 28 del RGPD establece requisitos estrictos para la relación entre responsables y encargados. Los responsables solo pueden recurrir a encargados que ofrezcan garantías suficientes para implementar medidas técnicas y organizativas apropiadas. El tratamiento debe regirse por un contrato vinculante o acto jurídico (el "acuerdo de encargo de tratamiento") que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados.

Los encargados tienen obligaciones directas en virtud del RGPD, incluyendo el deber de mantener un registro de actividades de tratamiento realizadas por cuenta de los responsables, implementar medidas de seguridad apropiadas, notificar al responsable sin dilación indebida en cuanto tengan conocimiento de una violación de seguridad de datos personales, designar un Delegado de Protección de Datos cuando sea necesario, y no recurrir a subencargados sin la autorización previa del responsable. Los encargados también pueden enfrentarse directamente a multas administrativas y responsabilidad por daños.

La distinción entre responsable y encargado tiene implicaciones prácticas significativas. Una entidad que actúe más allá de las instrucciones del responsable (por ejemplo, utilizando los datos para sus propios fines) puede ser considerada responsable para ese tratamiento, con todas las obligaciones y responsabilidades correspondientes. Esto es particularmente relevante en el contexto de la IA y el aprendizaje automático, donde los encargados que manejan datos de entrenamiento deben ser cuidadosos de no traspasar la línea hacia la condición de responsable.

• RGPD