Encargado del tratamiento
Un proveedor externo que trata datos personales por cuenta del responsable, siguiendo sus instrucciones.
El encargado del tratamiento, definido en el artículo 4.8 y regulado en el artículo 28 del RGPD, es la persona física o jurídica que trata datos personales por cuenta del responsable del tratamiento, sin decidir por sí mismo los fines de ese tratamiento.
Ejemplos típicos en un sitio web
| Servicio | Papel habitual |
|---|---|
| Proveedor de alojamiento (hosting) | Encargado del tratamiento |
| Herramienta de envío de newsletter | Encargado del tratamiento |
| Proveedor de pagos | Responsable independiente para sus propios fines |
| Empresa de transporte | Encargado o responsable independiente, según el contrato |
El contrato de encargo, obligatorio
El artículo 28 del RGPD exige que la relación entre responsable y encargado se formalice mediante un contrato por escrito, que regule el objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las obligaciones de seguridad del encargado.
Subencargados
Un encargado solo puede subcontratar a otro proveedor (subencargado) con autorización general o específica del responsable, y debe imponerle por contrato las mismas obligaciones de protección de datos que él mismo asumió.
Qué comprobar antes de contratar
Antes de dar de alta cualquier herramienta que trate datos personales por tu cuenta, revisa si ofrece un contrato de encargo del tratamiento firmable, dónde aloja los datos y si aplica alguna certificación de seguridad reconocida. Estas comprobaciones evitan sorpresas si más adelante necesitas justificar tu elección de proveedores.
El encargado no decide, pero sí responde
Aunque el encargado no determina los fines del tratamiento, el RGPD le atribuye responsabilidad propia si incumple sus obligaciones, por ejemplo si contrata un subencargado sin autorización o no aplica medidas de seguridad adecuadas. No es un papel exento de riesgo legal.
Instrucciones documentadas por escrito
El encargado solo puede tratar los datos según las instrucciones documentadas del responsable; si actúa por iniciativa propia decidiendo nuevos fines, pasa a considerarse responsable de ese tratamiento adicional, con las obligaciones correspondientes.
Sigue explorando
Términos relacionados: Transferencia internacional de datos.
Artículos del blog: Política de privacidad para SaaS: qué la hace diferente.
Incorpora esto correctamente en tu política de privacidad
Nuestro generador redacta este tipo de cláusulas automáticamente, listas en pocos minutos.
Preguntas frecuentes sobre encargado del tratamiento
Respuestas concretas a las preguntas que más nos hacen sobre esto.