¿Soy encargado del tratamiento o responsable del tratamiento?

Quien determina el propósito es responsable del tratamiento

El rol se deriva de la pregunta de quién decide por qué y cómo se tratan los datos, no de quién introduce o almacena los datos en la práctica. Una empresa que determina por sí misma qué datos de clientes recopila, con qué propósito y durante cuánto tiempo los conserva, es responsable del tratamiento de esos datos. Un tercero que trata esos mismos datos exclusivamente por encargo —siguiendo las instrucciones de otro, sin añadir un propósito propio— es encargado del tratamiento. Un paquete de contabilidad que procesa facturas según la configuración del usuario es típicamente un encargado del tratamiento; la empresa que utiliza el paquete y determina qué datos de clientes se introducen en él es responsable del tratamiento.

En la práctica, una empresa suele ser ambos a la vez, según el flujo de datos que analices. Una firma de administración de nóminas es encargada del tratamiento de los datos de personal que procesa en nombre de sus clientes, y al mismo tiempo responsable del tratamiento de los datos de sus propios empleados. El rol se vincula, por tanto, al tratamiento específico, no al tipo de organización ni al sector en el que opera. Esa distinción determina después qué obligaciones corresponden: un responsable del tratamiento asume la responsabilidad principal de la legalidad y la rendición de cuentas, un encargado del tratamiento actúa dentro de los límites de un contrato de tratamiento de datos y las instrucciones que contiene.

Dónde aparece en el artículo 4 y 28 del RGPD

El artículo 4 del RGPD proporciona las definiciones de ambos roles: el responsable del tratamiento es quien determina el propósito y los medios del tratamiento, el encargado del tratamiento es quien trata datos personales por cuenta del responsable del tratamiento. El artículo 28 del RGPD se basa en esto y describe qué se espera específicamente de un encargado del tratamiento, incluido en particular el cumplimiento de un contrato de tratamiento de datos. Las directrices del EDPB desarrollan esta delimitación con ejemplos prácticos, precisamente porque en la práctica la línea divisoria no siempre resulta evidente por sí sola.