Un responsable del tratamiento decide para qué se usan los datos personales y sus medios esenciales. Un encargado los trata por cuenta del responsable, dentro de sus instrucciones. Dos entidades son corresponsables cuando determinan conjuntamente los fines y medios de un tratamiento. Son funciones jurídicas que se asignan a cada operación, no etiquetas permanentes para una empresa. Una plataforma puede ser encargada al alojar la base de clientes de una tienda y responsable de sus propias facturas y cuentas de empleados.
La diferencia importa antes de firmar: determina si procede un acuerdo de corresponsabilidad del artículo 26, un contrato o acto jurídico de encargo del artículo 28, o una relación entre responsables independientes. También cambia quién informa a las personas, responde a sus derechos y decide si una brecha debe notificarse. Las Directrices 07/2020 finales del Comité Europeo de Protección de Datos y la pregunta frecuente de la AEPD sobre ambos roles parten de la función real. El nombre escrito en el contrato no transforma por sí solo una relación.
Decidir por operación, no por nombre del proveedor
El artículo 4, apartados 7 y 8, del RGPD define responsable y encargado. Para clasificar una actividad, identifique primero la finalidad concreta: gestionar nóminas, entregar un paquete, alojar una tienda, prestar asesoramiento jurídico o enviar publicidad. Después pregunte quién decide que esa finalidad exista, qué categorías de personas y datos intervienen, quién puede recibirlos y cuánto tiempo son necesarios. Esas decisiones sobre fines y medios esenciales apuntan al responsable.
Un encargado puede elegir medios no esenciales para prestar el servicio, por ejemplo el programa de copias de seguridad o la configuración técnica de su infraestructura, si respeta el encargo y las instrucciones documentadas. No adquiere automáticamente la condición de responsable por tener experiencia técnica o porque ofrezca un servicio estandarizado. Tampoco basta que el cliente pague el servicio para convertirlo en responsable de todo tratamiento que haga el proveedor. Hay que analizar quién controla cada finalidad y qué margen real tiene cada parte.
| Pregunta | Indicio habitual de responsable | Indicio habitual de encargado |
|---|---|---|
| ¿Quién decide la finalidad de esta operación? | La entidad la define para su propia actividad. | La finalidad viene fijada por el cliente. |
| ¿Quién determina los medios esenciales? | Decide categorías, destinatarios o criterios esenciales de conservación. | Ejecuta el servicio dentro del marco definido por el cliente. |
| ¿Puede reutilizar los datos para un fin propio? | Debe justificar ese fin como responsable. | No puede hacerlo al amparo de las instrucciones recibidas. |
| ¿Qué relación jurídica corresponde? | Con otro responsable, analizar cesión o corresponsabilidad. | Contrato o acto jurídico conforme al artículo 28. |
Esta tabla es una orientación, no una fórmula que sustituya el examen del servicio. El responsable puede consultar a su proveedor para elegir medidas técnicas; el encargado puede proponer mejoras; y ambos pueden estar sujetos directamente a obligaciones de seguridad. La clasificación debe describir el flujo real y puede variar cuando el servicio cambia. Para situar la decisión en una asesoría concreta, véase la guía de RGPD para asesorías y gestorías.
Cinco situaciones que suelen confundirse
Nóminas externalizadas. Si la empresa decide emplear personal, qué datos necesita para pagarle y encarga a una gestoría ejecutar las nóminas conforme a sus instrucciones, la empresa será normalmente responsable y la gestoría encargada respecto de esa operación. La gestoría puede actuar como responsable independiente para sus propios empleados, facturación o deberes profesionales específicos. No se debe extender una calificación de la nómina a toda la relación comercial sin examinar las otras finalidades.
Alojamiento y SaaS. Una tienda decide vender en línea y contrata infraestructura para almacenar sus pedidos. El proveedor suele tratar los datos de esos pedidos por cuenta de la tienda; elige ciertas herramientas técnicas, pero no el fin comercial de la tienda. El mismo proveedor es responsable de tratar los datos de contacto de su cliente para administrar su propia relación contractual, o de finalidades propias que legalmente le correspondan. Revise los módulos adicionales: una función de análisis que reutiliza datos para desarrollar productos del proveedor exige una calificación y una base jurídica propias, no una mención genérica en el contrato de encargo.
Agencia de marketing. Ejecutar una campaña con la lista de una empresa bajo instrucciones documentadas puede ser encargo. Una agencia que decide recoger contactos para su propia base y enviarles publicidad persigue su propia finalidad. Si cliente y agencia diseñan conjuntamente una operación específica, estudie si determinan conjuntamente los fines y medios, en vez de asumir que toda colaboración creativa es corresponsabilidad. La calificación no resuelve por sí sola la licitud del envío comercial ni los deberes de información.
Profesionales con criterio propio. Un despacho o auditor que recibe datos de un cliente no es automáticamente encargado porque el cliente le paga. Si determina de forma independiente fines y medios esenciales para prestar una profesión sujeta a deberes propios, puede actuar como responsable independiente respecto de esa actividad. Sin embargo, una prestación administrativa muy delimitada dentro de una firma profesional podría tener otra calificación. Describa el trabajo concreto, las normas profesionales y el margen de decisión; evite la regla absoluta de que todos los abogados, auditores o asesores son siempre responsables o siempre encargados.
Servicios integrados y logística. La AEPD describió en junio de 2026 dos expedientes sobre una empresa de transporte y un operador de taquillas. Aunque su contrato los presentaba como responsables independientes, la Agencia examinó cómo se ejecutaba la entrega y apreció una relación de encargo para operaciones concretas. También distinguió un uso posterior con finalidad autónoma del operador. El ejemplo muestra por qué conviene analizar finalidad por finalidad y contrastar la documentación con instrucciones y prácticas reales. El resumen de la AEPD remite a las resoluciones íntegras; no extrapole su resultado a cualquier empresa de logística.
Corresponsabilidad y responsables independientes
El artículo 26 RGPD se aplica cuando dos o más responsables determinan conjuntamente los fines y medios de un tratamiento. Pueden contribuir de distinta manera y no tienen por qué acceder a exactamente los mismos datos. Deben establecer de manera transparente sus respectivas responsabilidades, especialmente la información a las personas y el ejercicio de derechos, salvo en la medida en que una norma de la Unión o de un Estado miembro las determine. La esencia del acuerdo debe estar disponible para los interesados y estos pueden ejercer sus derechos frente a cualquiera de los corresponsables, con independencia de lo pactado internamente.
Una simple transmisión de datos entre dos empresas no crea corresponsabilidad. Si cada una decide separadamente su finalidad y sus medios esenciales, pueden ser responsables independientes para sus respectivas operaciones. Tampoco la pertenencia a un grupo empresarial convierte automáticamente a sus sociedades en corresponsables. En un CRM compartido, por ejemplo, identifique quién decidió crear el sistema común, qué clientes incorpora cada entidad, para qué se consultan los registros y qué reglas de acceso y conservación acordaron. La respuesta puede cambiar entre la captación común y la venta posterior de cada sociedad.
El acuerdo del artículo 26 no sustituye una base jurídica ni convierte un tratamiento ilícito en lícito. Debe permitir que la persona entienda quién hace qué, y el reparto interno tiene que ser ejecutable. Si una entidad recibe las solicitudes pero la otra conserva los datos necesarios para responder, defina cómo cooperan y cómo llega la respuesta dentro del plazo aplicable. La guía sobre derechos ARCO y derechos del RGPD ayuda a separar la solicitud del debate interno sobre roles.
Qué exige una relación de encargo real
El artículo 28 exige que el tratamiento por un encargado se rija por un contrato u otro acto jurídico vinculante con los elementos del apartado 3; el soporte debe constar por escrito, incluso en formato electrónico. Por tanto, “hay que firmar un contrato” es una simplificación: un acto jurídico válido también puede establecer el vínculo. El responsable debe elegir un encargado que ofrezca garantías suficientes. El instrumento debe identificar objeto, duración, naturaleza, finalidad, categorías de interesados y datos, y obligaciones y derechos del responsable, además de las cláusulas operativas exigidas por el artículo 28(3).
Entre ellas figuran las instrucciones documentadas, confidencialidad, seguridad, reglas de subencargo, asistencia para atender derechos y obligaciones de seguridad, devolución o supresión al terminar y puesta a disposición de la información necesaria para demostrar cumplimiento y permitir auditorías. No basta una frase que diga “ambas partes cumplen el RGPD”. Use el modelo de contrato de encargado del tratamiento como punto de partida y adapte sus anexos al servicio real. La guía del artículo 28 y obligaciones del encargado desglosa las cláusulas y responsabilidades.
Un subencargado necesita autorización previa del responsable, específica o general por escrito, conforme al artículo 28(2). Si es general, el encargado debe informar de los cambios previstos y dar al responsable la posibilidad de oponerse. El artículo 28(4) exige trasladar al subencargado obligaciones equivalentes en materia de protección de datos mediante contrato u otro acto jurídico, y el encargado inicial sigue respondiendo ante el responsable por su cumplimiento. No confunda la autorización de subencargo con una autorización para cambiar la finalidad. Si el servicio incluye acceso desde un tercer país, examine además las transferencias internacionales de datos: la existencia de contrato de encargo no resuelve por sí sola el capítulo V.
Brechas, derechos y registros: repartir la acción
Ante una brecha de seguridad, la primera tarea es identificar la operación y el papel de cada entidad. Si el encargado descubre una violación de seguridad de datos personales, debe comunicarla al responsable sin dilación indebida tras tener conocimiento, según el artículo 33(2). El responsable evalúa el riesgo y, salvo que sea improbable que la brecha entrañe riesgo para los derechos y libertades, notifica a la autoridad sin dilación indebida y, cuando sea factible, dentro de 72 horas desde que tuvo conocimiento, conforme al artículo 33(1). Si existe alto riesgo, también puede ser necesaria la comunicación a las personas conforme al artículo 34. El encargado puede asistir y, si el responsable le autoriza, transmitir información en su nombre; la responsabilidad legal de valorar y notificar sigue en el responsable. Para los pasos de decisión en España, véase cómo notificar una brecha a la AEPD.
La persona interesada puede dirigir una solicitud al responsable; el contrato de encargo debe prever cómo el proveedor ayuda a localizar, extraer, rectificar o suprimir los datos afectados. No prometa que todo encargado puede resolverla por su cuenta. Si una solicitud llega directamente al proveedor, un canal de derivación rápido y seguro evita que quede sin gestionar. El modelo de respuesta a derechos puede servir para ensayar la coordinación, pero la contestación debe adaptarse al derecho ejercido y a las excepciones aplicables.
Los registros tampoco son idénticos: el artículo 30(1) describe el del responsable y el 30(2) el de las categorías de actividades efectuadas por el encargado por cuenta de cada responsable, con la excepción condicionada del artículo 30(5). Anotar cada relación y su función en el registro de actividades de tratamiento ayuda a localizar el contrato, los destinatarios y las decisiones sobre conservación. No suponga que la pequeña dimensión elimina el registro: el artículo 30(5) excluye la excepción cuando, entre otros supuestos, el tratamiento no es ocasional o incluye categorías especiales o datos del artículo 10.
Por último, responsable y encargado pueden tener obligaciones directas propias ante la AEPD. La tabla de roles no significa que solo el responsable pueda ser investigado o sancionado. Tampoco toda brecha causa automáticamente una sanción a ambos. Los artículos 82 y 83 distinguen responsabilidad civil y multas administrativas según hechos y obligaciones incumplidas. Es más útil documentar las instrucciones, medidas y decisiones que discutir en abstracto quién “se lleva la multa”.
Documentar una decisión de rol que resista cambios
Describa cada operación en una ficha breve: finalidad, datos y personas afectados, quién inicia el tratamiento, quién decide medios esenciales, qué margen técnico tiene el proveedor y si existen reutilizaciones propias. Adjunte el contrato de servicio y el instrumento de protección de datos pertinente. Identifique quién valida las instrucciones y quién recibe avisos de incidentes o solicitudes. Una decisión bien documentada permite revisar el rol cuando se activa una nueva funcionalidad, se integra otro sistema o el proveedor empieza a utilizar datos para fines propios.
Antes de aprobar la ficha, contraste los documentos con una demostración operativa. ¿Quién configura los destinatarios? ¿Puede el proveedor cambiar el plazo de conservación sin la aprobación del cliente? ¿Se incorporan datos a una base comercial propia? ¿Quién decide abrir el módulo de analítica? Estas preguntas revelan diferencias entre el contrato y la práctica. Si el proveedor determina fines y medios al margen de las instrucciones, el artículo 28(10) lo considera responsable respecto de ese tratamiento, sin que ello transforme automáticamente todas sus demás actividades.
Una evaluación periódica debe responder a hechos que hayan cambiado, no limitarse a volver a firmar el mismo anexo. Revise adquisiciones, nuevas finalidades, cambios de subencargados, integraciones técnicas y usos secundarios. Si se descubre que la relación era entre responsables independientes, corrija la información a los interesados, las bases jurídicas y las obligaciones de comunicación que correspondan; si era encargo, establezca las instrucciones y garantías faltantes. Para cláusulas de transferencia en servicios internacionales, consulte también la guía de cláusulas contractuales tipo, sin confundirlas con el acuerdo de roles.
Preguntas frecuentes
¿Puede el mismo proveedor ser responsable y encargado?
Sí, para operaciones distintas. Un SaaS puede ser encargado respecto de la base de clientes que aloja bajo instrucciones y responsable respecto de su facturación o una finalidad propia debidamente identificada. Dibuje los flujos y asigne el rol a cada uno, evitando un único rótulo para toda la relación.
¿Es imprescindible un contrato de encargo firmado en papel?
El artículo 28(3) exige un contrato u otro acto jurídico vinculante, y el 28(9) que conste por escrito, inclusive en formato electrónico. Lo decisivo es que incorpore las obligaciones requeridas y describa el tratamiento; una referencia genérica al RGPD no basta.
¿Cuándo hay corresponsabilidad y no dos responsables independientes?
Cuando las entidades determinan conjuntamente fines y medios de una operación. Compartir datos, contratarse mutuamente o pertenecer al mismo grupo no basta por sí solo. El acuerdo del artículo 26 organiza responsabilidades, pero la persona puede ejercer derechos frente a cualquiera de los corresponsables.
¿El encargado puede decidir las medidas técnicas?
Puede elegir medios no esenciales dentro del encargo, siempre que cumpla las instrucciones y las exigencias del RGPD. Si empieza a determinar finalidades o medios esenciales de una operación incumpliendo el Reglamento, el artículo 28(10) puede situarlo como responsable de esa operación. Analice qué decisión concreta adoptó y respecto de qué datos.