{"id":2900,"date":"2018-06-11T22:00:00","date_gmt":"2018-06-11T22:00:00","guid":{"rendered":""},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T23:00:00","slug":"abogados-especialistas-en-rgpd","status":"publish","type":"publicacion","link":"https:\/\/belzuz.com\/pt\/publicacion\/abogados-especialistas-en-rgpd\/","title":{"rendered":"Las figuras del responsable y el encargado del tratamiento en la normativa de protecci\u00f3n de datos de car\u00e1cter personal"},"content":{"rendered":"

\n\tCon motivo de la aplicación obligatoria del Reglamento (UE) del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante
\n\t“RGPD”) se están produciendo fenómenos masivos, como por ejemplo, la avalancha de correos electrónicos demandando la renovación del consentimiento explícito para el envío de promociones de marketing.
\n\tOtro de los fenómenos al que estamos acudiendo las empresas y los abogados especialistas en la ley de protección de datos personales<\/strong>, es al del importante volumen de contratos o anexos para la adecuación de los denominados
\n\tcontratos de encargado del tratamiento. Pero no siempre en una relación entre empresas, es tan claro cuál de ellas es la que tiene la condición de responsable del tratamiento y cuál es la encargada del mismo, pudiendo existir
\n\t“zonas grises” que dan lugar a la discrepancia entre las organizaciones.<\/p>\n

Por ello, en este artículo, como abogados especialistas en protección de datos personales empresas<\/strong>, vamos a tratar sobre estas dos figuras jurídicas de la normativa de protección de datos de carácter
\n\tpersonal.\n<\/p>\n

Debe señalarse, en primer lugar que el RGPD establece, con respecto a la regulación anterior, importantes novedades en cuanto a las reglas que deben regir la relación entre el responsable del tratamiento y el encargado del tratamiento,
\n\tdeterminando una serie de requisitos anteriormente no existentes o que, al menos, que no se exigían de forma expresa por la ley. Esto ha dado lugar a la necesidad de adaptar las cláusulas y contratos a dichos requisitos.<\/p>\n

Aunque en España, el Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal, prevé en su Disposición Transitoria Quinta que los contratos de encargado del tratamiento suscritos con anterioridad al
\n\t25 de mayo de 2018 mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y, en caso de haberse pactado de forma indefinida, hasta transcurridos cuatro años desde la citada fecha, o hasta que se prorrogase el
\n\tvencimiento, ya fuera por mutuo acuerdo entre las partes o por acuerdo tácito, dicho Proyecto de Ley no ha sido aún aprobado, sin que por tanto, tenga vigencia como se había pretendido, desde el mismo momento de la aplicación
\n\tobligatoria del RGPD.<\/p>\n

El efecto que esto ha producido es que los contratos de encargado del tratamiento deben estar adaptados desde el 25 de mayo de 2018, fecha en que es de aplicación obligatoria el RGPD. De ahí que esté teniendo lugar una importante
\n\tcirculación de documentos legales entre las empresas para dar cumplimiento a las obligaciones del RGPD en este particular.<\/p>\n

A estas alturas y, como parte del ejercicio de adecuación al RGPD, la mayoría de las empresas tienen ya establecido algún texto a modo de modelo para enviar a sus proveedores prestadores de servicios que se considera funcionan como
\n\tencargados del tratamiento. Y es aquí donde se producen a veces posturas encontradas porque en algunos casos, considera el destinario que no es procedente suscribir un contrato de este tipo, por no tener éste la condición de encargado
\n\tdel tratamiento, sino la de responsable.<\/p>\n

La distinción entre ambas figuras, como veremos, resulta esencial por cuanto que las obligaciones para las mimas, así como la responsabilidad, no son iguales. Ciertamente, el RGPD ha venido a imponer mayores requerimientos y reglas para
\n\tal encargado del tratamiento, pero con todo y con eso, el rol de cada una de estas instituciones es diferente y en base a la regulación de la relación entre ellas, se articula el fin primordial de la seguridad de los datos personales. Así
\n\ttenemos que, las normas sobre los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado
\n\tde los datos personales), están dirigidas fundamentalmente el responsable del tratamiento, creando para él obligaciones. Y lo mismo ocurre con las disposiciones sobre información y obtención del consentimiento, siendo principal
\n\tresponsable de cualquier daño resultante de un tratamiento ilegal.<\/p>\n

El responsable del tratamiento determina los fines y los medios relacionados con el tratamiento de los datos personales. De modo que, si una entidad decide «por qué» y «cómo» deberán tratarse los datos personales,
\n\tdicha entidad deberá entenderse es el responsable del tratamiento. El encargado del tratamiento trata los datos personales únicamente por cuenta del responsable del tratamiento; debe cumplir con las instrucciones de quien le encomienda
\n\tun determinado servicio, respecto al correcto tratamiento de los datos personales a los que pueda tener acceso como consecuencia de la prestación de este servicio.<\/p>\n

El encargado del tratamiento de los datos suele ser un tercero externo a la empresa; sin embargo, en el caso de los grupos de empresas, una de ellas puede actuar como encargada del tratamiento para otra.<\/p>\n

El encargado del tratamiento puede adoptar todas las decisiones organizativas y operacionales necesarias para la prestación del servicio que tenga contratado pero ningún caso puede variar las finalidades y los usos de los datos ni los puede
\n\tutilizar para sus propias finalidades. Las decisiones que adopte deben respetar en todo caso las instrucciones dadas por el responsable del tratamiento. Existen situaciones en las que una entidad puede ser responsable o encargado del tratamiento, o ambas
\n\tcosas.\n<\/p>\n

El artículo 4, 7) del RGPD define al “responsable del tratamiento” como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.”<\/p>\n

A su vez, el mismo artículo en su aparado 8) define al encargado del tratamiento como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del
\n\ttratamiento.”\n<\/p>\n

Pese a la aparente sencillez de las definiciones, ocurre en la práctica que no es tan fácil deslindar ambas figuras. Y esto es así desde la derogada Directiva 95\/46\/CE. Baste recordar el Dictamen 1\/2010 del Grupo de Trabajo del Art.
\n\t29 de 16 de febrero de 2010; ya se decía, por este órgano consultivo europeo en el citado Dictamen que reconocía “las dificultades para aplicar las definiciones en un entorno complejo, donde se pueden prever muchos escenarios
\n\tque involucran responsable y encargados, solos o en conjunto, con diferentes grados de autonomía y responsabilidad”. También se nos hablaba de la existencia de “indicios de falta de claridad, al menos en cuanto a ciertos aspectos
\n\tde estos conceptos y algunas opiniones divergentes entre los profesionales de diferentes Estados miembros que puede dar lugar a interpretaciones diferentes de los mismos principios y definiciones”, para terminar señalando que “la aplicación
\n\tconcreta de los conceptos de responsable y encargado del tratamiento de datos personales se vuelve cada vez más compleja, debido principalmente a la complejidad creciente, tanto en el sector privado como en el público, hacia diferenciación
\n\torganizacional, en combinación con el desarrollo de las TIC y globalización, de una manera que puede dar lugar a problemas nuevos y difíciles que a veces da como resultado un nivel más bajo de protección otorgado a
\n\tlos sujetos de datos”.<\/p>\n

Dentro de la definición de responsable del tratamiento, cabría distinguir tres partes a analizar.<\/p>\n

1º.- Primer elemento: “persona física o jurídica, autoridad pública, servicio u otro organismo…”<\/span><\/p>\n

Como se puede apreciar, el elemento personal en la definición, puede ser muy amplio; va desde la persona física, pasando por las personas jurídicas, las autoridades públicas, hasta servicio u otro organismo. Como ha indicado
\n\tel Grupo de Trabajo del Art. 29 en el antes referido Dictamen, a fin de dar una referencia más estable y fiable para la protección de los datos personales y el ejercicio de los derechos, “debe darse preferencia a considerar como responsable
\n\ta la empresa o el organismo en lugar de una persona específica dentro de la empresa. Es la empresa o el organismo el que se deberá considerar como responsable último de los datos y las obligaciones derivadas de la legislación
\n\tde protección de datos, a menos que existan elementos claros que indique que una persona física será responsable. En general, debería suponer que una empresa u organismo público son responsables como tales de las actividades
\n\tde tratamiento que tienen lugar dentro de su ámbito de actividades y riesgos.”<\/p>\n

Resumiendo, se puede concluir que el responsable de los datos es siempre la organización. Si una persona física trabaja en una empresa o en un organismo público, dicha persona físicas solo será responsable si utiliza
\n\tlos datos personales para sus propios fines y no para los de la empresa u organismo.<\/p>\n

2º.- Segundo elemento: “solo o conjuntamente con otros…”<\/span><\/p>\n

Puede ocurrir que el encargado del tratamiento no sea único para dicho tratamiento. Pueden darse casos en los que son múltiples actores los que interactúan en el tratamiento de la información personal.<\/p>\n

De hecho, cada vez son más los casos. Varias partes pueden determinar conjuntamente las finalidades y los medios de tratamiento que se van a llevar a cabo.<\/p>\n

Incluso hay más supuestos de corresponsabilidad de encargados, no solo el que se ha mencionado, pudiendo existir otras combinaciones de control pluralista; es el caso de que múltiples actividades constituyan un tratamiento y una entidad
\n\trealice una o varias de las actividades y otra u otras, realice otra o varias de las actividades que constituyen el tratamiento. Sin embargo, el mero hecho de que diferentes agentes cooperen en el tratamiento de datos personales, como por ejemplo, en
\n\tuna cadena, no implica necesariamente sean corresponsables; si no se comparten propósitos y medios, solo habrá una cesión de datos entre responsables del tratamiento, pero no una corresponsabilidad.<\/p>\n

Los corresponsables del tratamiento deben concertar un acuerdo en el que se establezcan sus respectivas responsabilidades de cumplimiento con las normas del Reglamento general de protección de datos. Los principales aspectos del acuerdo deberán
\n\tcomunicarse a las personas sobre cuyos datos se realice el tratamiento (Art. 26 RGPD).<\/p>\n

3º.- Tercer elemento: “determina los fines y medios del tratamiento…” <\/span><\/p>\n

¿Con qué nivel de detalle debe alguien determinar los fines y medios del tratamiento para ser considerado como responsable?.<\/p>\n

Determinar los fines y los medios del tratamiento significa, no solo establecer las formas técnicas del tratamiento de datos personales, sino que se refiere también y esencialmente al “cómo”, que incluye preguntas como
\n\t“qué datos deberán tratarse”, “qué terceros tendrán acceso a esos datos”, “cuándo los datos serán eliminados”, etc. Se entiende, sin embargo, que la determinación de
\n\tlos medios puede ser delegada en el encargado del tratamiento.<\/p>\n

Por otro lado, hay que tener en cuenta que la condición de responsable del tratamiento puede venir por una atribución específica hecha por la ley. La atribución de la condición de responsable del tratamiento, debe derivar
\n\tde un análisis de los elementos de hecho o circunstancias del caso. En el caso de que sea la ley la que establezca la condición de responsable obedece a la necesidad de garantizar la previsibilidad con respecto al control, de modo que se
\n\testablecen presunciones prácticas para guiar y simplificar la aplicación de la ley de protección de datos.<\/p>\n

Como ejemplos de esta atribución por ley de la condición de responsable del tratamiento, podemos citar, entre otros:<\/p>\n

– Cuando sea de aplicación el texto Refundido de la Ley de Contratos del Sector Público, aprobado por el Real Decreto Legislativo 3\/2011, de 14 de noviembre, debe tenerse en cuenta que dicha ley prevé (disposición adicional
\n\t26ª) que, cuando la contratación implique el acceso del contratista a datos de carácter personal de cuyo tratamiento sea responsable la entidad contratante, el contratista tendrá la consideración de encargado del tratamiento.
\n\t(En este caso, a sensu contrario, será responsable del tratamiento la entidad contratante).<\/p>\n

– La Ley 26\/2006, de 17 de julio, de mediación de seguros y reaseguros privados en su Artículo 62, establece la condición que cada una de las categorías de mediadores ostenta con respecto a la entidad aseguradora.<\/p>\n

Es muy importante tener en cuenta que la atribución de la condición de responsable y encargado del tratamiento es una cuestión de carácter imperativo o de disposición legal obligatoria, sin que quepa la posibilidad de
\n\tlas partes en un contrato puedan derogar o desviarse de la disposición legal.<\/p>\n

Por lo que respecta al encargado del tratamiento, los elementos que conforman la definición son:<\/p>\n

– Se trata de una entidad jurídica (persona física, jurídica, autoridad pública, servicio u otro organismo) separado con respecto del encargado del tratamiento. En cuanto al elemento personal, es decir, quien pueda serlo, nos
\n\tremitimos a la explicación dada con respecto al responsable del tratamiento.<\/p>\n

Dicha entidad jurídica debe entenderse separado del responsable del tratamiento.<\/p>\n

– Lleva a cabo tareas de tratamiento de datos personales, por cuenta y en nombre del responsable del tratamiento. Esta actividad de tratamiento puede estar limitada a una tarea específica o limitada, pero también puede ser más general
\n\ty extendida.<\/p>\n

También cabe la existencia de una pluralidad de encargados del tratamiento, pudiendo éstos tener una relación directa con el responsable del tratamiento o ser subencargados a los que el encargado ha delegado parte de la actividad
\n\tde tratamiento a él confiada.<\/p>\n

Estas serían las notas distintivas de una y otra figura, responsable y encargado del tratamiento. En Belzuz Abogados, como abogados especialistas en RGPD<\/strong>, estamos a su disposición para el asesoramiento de las empresas de
\n\tcara a construir de una manera adecuada y acorde a la normativa sobre protección de datos de carácter persona, las relaciones entre aquéllas y ofreciendo nuestra ayuda para evitar preventivamente infracciones que den lugar a detrimentos
\n\tde imagen y económicos.<\/p>\n<\/p><\/p>\n","protected":false},"featured_media":431,"template":"","categories":[],"area-de-practica":[],"publicaciones":[],"idioma-publicacion":[70],"class_list":["post-2900","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry","idioma-publicacion-espanol"],"acf":[],"_links":{"self":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/publicacion\/2900","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/publicacion"}],"about":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/types\/publicacion"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/media\/431"}],"wp:attachment":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/media?parent=2900"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/categories?post=2900"},{"taxonomy":"area-de-practica","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/area-de-practica?post=2900"},{"taxonomy":"publicaciones","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/publicaciones?post=2900"},{"taxonomy":"idioma-publicacion","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/idioma-publicacion?post=2900"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}