Responsable, encargado y corresponsables

El reglamento define al responsable como quien determina los fines y los medios del tratamiento (artículo 4.7) y al encargado como quien trata datos por cuenta del responsable (artículo 4.8). La clave está en los verbos: decidir frente a ejecutar por cuenta de otro. El tamaño de la empresa, el sector o dónde esté el servidor no cambian el papel.

Importa porque casi todo cuelga del papel: el responsable responde ante el titular y ante la autoridad (artículo 24), debe poder demostrar cumplimiento y tiene que pactar por escrito con sus encargados lo que estos pueden hacer (artículo 28). Un encargado también tiene obligaciones propias, pero actúa dentro de las instrucciones.

Si un encargado se sale de las instrucciones y decide por su cuenta para qué trata los datos, el reglamento lo considera responsable de ese tratamiento (artículo 28.10), con todas las obligaciones que eso trae: base lícita, información a los titulares, derechos. Y además incumple frente al responsable original.

Es un hallazgo clásico en plataformas de correo, de analítica y de publicidad: el contrato dice «encargado», pero la plataforma usa los datos de su cliente para sus propios negocios. Abre el mapa de relaciones de Páramo y lee, para cada tercero, quién fija la finalidad.

Dos o más responsables pueden fijar juntos fines y medios: son corresponsables (artículo 26). No es lo mismo que cada uno tenga su propio tratamiento de los mismos datos, ni que uno trate por cuenta del otro. La señal está en la finalidad: si la fijan entre ambas, hay corresponsabilidad; si una sola decide y la otra ejecuta, hay encargo; si cada una decide la suya, son responsables independientes.

Un proveedor que no recibe datos personales no tiene rol alguno en este análisis. Cuidado con ese descarte, que es tan importante como el hallazgo.

Los corresponsables deben fijar de manera transparente, mediante un acuerdo, qué obligación cumple cada uno, en especial frente al ejercicio de los derechos de los titulares y al deber de informarles (artículo 26.1). La esencia del acuerdo tiene que estar a disposición del titular (artículo 26.2). Un acuerdo con un campo en blanco no cumple su función: es la parte que el titular más necesita.

Lee el acuerdo AC-01 de Páramo con Cumbre y busca el campo sin contenido.

Lo que dice el acuerdo entre corresponsables es relevante entre ellas, pero no limita al titular: el artículo 26.3 dice que puede ejercer sus derechos frente a cada uno de los responsables, sea cual sea el reparto. El titular no tiene por qué leer ni conocer el acuerdo.

Una clienta de Taza Llena le pide a Páramo una copia de los datos del programa. Páramo contesta que debe pedirlo a Cumbre porque el acuerdo entre ambas le asigna esa tarea.