Encargado del tratamiento de datos: qué es y cuándo lo necesitas

Cada vez que tu empresa contrata una gestoría para las nóminas, sube su cartera de clientes a un CRM en la nube o deja que una agencia gestione su base de datos de marketing, estás poniendo datos personales en manos de un tercero. Ese tercero tiene un nombre concreto en el RGPD: el encargado del tratamiento. Y la relación que mantienes con él no se sostiene con un simple acuerdo comercial, sino con un contrato específico que la propia norma exige.

El concepto del encargado del tratamiento es, junto con el de responsable, uno de los pilares del Reglamento. También es una de las confusiones más frecuentes: muchas empresas no saben si ellas son responsables o encargadas, ni qué papel juega cada proveedor con el que comparten datos. Esta guía aclara qué es exactamente el encargado del tratamiento, en qué se distingue del responsable, qué obligaciones asume y cuándo necesitas firmar un contrato de encargo.

Definición del encargado del tratamiento según el RGPD

El art. 4.8 RGPD define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. La idea central está en esas cuatro palabras: por cuenta del responsable.

El encargado no es el dueño de la decisión sobre los datos. Recibe instrucciones del responsable y las ejecuta. Cuando una gestoría procesa las nóminas de tu plantilla, no decide ella qué se hace con esos datos: trata la información que tú, como empresa, has decidido externalizar para una finalidad que tú has fijado. La gestoría pone el medio (su software, su personal, su know-how), pero la finalidad —pagar las nóminas de tus empleados— la determinas tú.

En el otro extremo de la relación está el responsable del tratamiento, definido en el art. 4.7 RGPD como quien determina los fines y medios del tratamiento. El responsable es el centro de gravedad: toma las decisiones, responde ante los interesados y elige a los encargados con los que trabaja. El encargado orbita alrededor de esas decisiones.

Diferencia entre responsable y encargado del tratamiento

Distinguir ambas figuras es la confusión número uno en protección de datos, y la regla para resolverla cabe en una frase: el responsable decide, el encargado ejecuta. Quien determina para qué y cómo se tratan los datos es el responsable; quien los trata siguiendo esas instrucciones, por cuenta ajena, es el encargado.

Una misma empresa puede ser responsable en una relación y encargada en otra. Tu gestoría es encargada respecto de las nóminas que procesa por cuenta tuya, pero es responsable respecto de los datos de sus propios empleados o de su facturación. Lo que define el papel no es el tamaño de la empresa, sino quién decide en cada tratamiento concreto.

Obligaciones del encargado del tratamiento

El art. 28 RGPD regula con detalle la relación entre responsable y encargado, y de él derivan las obligaciones principales que asume quien trata datos por cuenta ajena. No son cargas formales: son condiciones que protegen al interesado y dan seguridad a la empresa que externaliza. Las más relevantes son:

• Tratar los datos solo según las instrucciones del responsable. El encargado no usa la información para finalidades propias distintas de la prestación contratada.
• Confidencialidad del personal. Las personas que acceden a los datos deben estar sujetas a un deber de confidencialidad.
• Medidas de seguridad apropiadas al riesgo del tratamiento, en línea con el art. 32 RGPD.
• No subcontratar sin autorización. Recurrir a otro encargado (subencargado) requiere la autorización previa del responsable (art. 28.2 y art. 28.4 RGPD).
• Asistir al responsable en la atención de los derechos del interesado y en sus obligaciones de seguridad y notificación de brechas.
• Devolver o suprimir los datos al finalizar la prestación (art. 28.3.g RGPD), un punto que merece detalle propio más abajo.

¿Cuándo se necesita un contrato de encargo de tratamiento?

Siempre que un tercero acceda o trate datos personales por cuenta de tu empresa. El art. 28.3 RGPD exige que esa relación se regule mediante un contrato u otro acto jurídico vinculante por escrito. No es opcional ni depende del tamaño del proveedor: en cuanto alguien externo maneja tus datos, hace falta el contrato de encargo.

El error frecuente es pensar que un acuerdo comercial corriente —el presupuesto, la factura o las condiciones del servicio— ya cubre esa relación. No lo hace. El contrato de encargo es un documento específico con un contenido mínimo que la norma fija expresamente, y su ausencia deja la relación con el proveedor fuera del paraguas del RGPD, aunque el servicio funcione con normalidad.

Qué debe incluir el contrato de encargo de tratamiento

El art. 28.3 RGPD establece que el contrato de encargo debe constar por escrito y regular, como mínimo, un conjunto de elementos concretos. No basta con una mención genérica: cada uno de estos puntos debe quedar definido en relación con el servicio real que presta el encargado.

• El objeto del tratamiento. Qué actividad de tratamiento se encarga exactamente.
• La duración del tratamiento, normalmente vinculada a la vigencia del servicio.
• La naturaleza y el fin del tratamiento.
• El tipo de datos personales implicados.
• Las categorías de interesados afectados (clientes, empleados, proveedores, etc.).
• Las obligaciones y los derechos del responsable en el marco de esa relación.

Sobre uno de los elementos del art. 28.3 conviene detenerse, porque concentra un error habitual: qué ocurre con los datos cuando la relación termina. El art. 28.3.g RGPD establece que, al finalizar la prestación, el encargado debe devolver o suprimir los datos —a elección del responsable— y eliminar las copias existentes.

La obligación prioritaria es devolver los datos o permitir que el responsable los exporte, para que este pueda cumplir sus propios plazos legales de conservación (fiscales, laborales, mercantiles). La supresión definitiva llega después, una vez el responsable dispone de la información. Por eso un contrato de encargo bien redactado nunca dice solo "destruir los datos al finalizar": prevé primero la devolución o exportación y reserva la eliminación para el momento en que el responsable ya tiene lo que necesita.

Ejemplos habituales de encargados en una empresa

La figura del encargado del tratamiento aparece en casi cualquier empresa, aunque muchas veces sin que sus responsables lo identifiquen como tal. Estos son los casos más frecuentes:

• La gestoría o asesoría que procesa tus nóminas y la documentación laboral de tu plantilla.
• El software o SaaS en la nube donde guardas información: el CRM con tu cartera de clientes, el ERP con tus proveedores.
• La agencia de marketing que gestiona la base de datos de clientes que tú le has confiado.
• La empresa de informática que mantiene tus servidores y, al hacerlo, accede a los datos que contienen.
• La plataforma de email marketing desde la que envías comunicaciones a tu lista de suscriptores.
• El proveedor de hosting donde se aloja tu web y los datos que recoges a través de ella.

En todos estos casos, tu empresa es la responsable y el proveedor es el encargado. Y en todos ellos hace falta un contrato de encargo del art. 28 RGPD que regule la relación. Identificar a todos los encargados con los que trabajas, y comprobar que cada uno tiene su contrato correctamente redactado, es uno de los trabajos básicos de cualquier consultoría de protección de datos.

Preguntas frecuentes

Conclusión

El encargado del tratamiento no es un tecnicismo del RGPD: es la figura que describe a casi todos los proveedores con los que tu empresa comparte datos. Saber distinguirlo del responsable —el responsable decide, el encargado ejecuta— te permite identificar correctamente tu posición en cada relación y, sobre todo, detectar qué contratos de encargo necesitas firmar y revisar.

El punto crítico está en la calidad de esos contratos. Un contrato de encargo genérico, que no describe el tratamiento real o que ordena "destruir" los datos sin prever antes su devolución, deja desprotegido a quien lo firma. En Certix redactamos y revisamos los contratos de encargo de cada proveedor para que reflejen el servicio real y cumplan el contenido del art. 28 RGPD. Puedes consultar nuestra guía completa del RGPD para situar esta figura en el conjunto de la norma.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.