El encargado del tratamiento es la persona natural o jurídica, autoridad pública u otra entidad que trata datos personales por cuenta del responsable del tratamiento.
A diferencia del responsable, el encargado no determina por sí mismo la finalidad principal para la cual se utilizan los datos, sino que realiza el tratamiento conforme a la relación e instrucciones establecidas con el responsable.
Por ejemplo, pueden existir encargados cuando una organización contrata a un proveedor para prestar servicios que implican acceso o tratamiento de datos personales.
¿Qué obligaciones tiene?
El encargado también debe cumplir las obligaciones establecidas por la normativa de protección de datos personales.
Entre ellas se encuentran:
- tratar los datos de acuerdo con las condiciones e instrucciones aplicables;
- mantener medidas de seguridad adecuadas;
- proteger la confidencialidad de los datos;
- colaborar con el responsable en el cumplimiento de las obligaciones de protección de datos;
- gestionar los riesgos, amenazas y vulnerabilidades asociados al tratamiento.
La LOPDP establece obligaciones tanto para responsables como para encargados, especialmente respecto de seguridad, gestión de riesgos y cumplimiento de la normativa.
Ejemplo sencillo:
Una institución determina por qué necesita determinados datos personales y cómo serán utilizados: responsable.
Esa institución contrata a un proveedor para ejecutar determinadas operaciones con esos datos por su cuenta: ese proveedor puede actuar como encargado.
La función concreta de cada participante debe determinarse considerando lo que realmente hace dentro del tratamiento, y no solamente el nombre utilizado en un contrato.
Base legal: artículos 4, 39, 40, 41 y 47 de la Ley Orgánica de Protección de Datos Personales y disposiciones pertinentes de su Reglamento General.