Responsable o encargado del tratamiento: cómo decidir el rol

Decidir si una parte es responsable o encargado del tratamiento exige observar una actividad concreta; la denominación de la empresa, el servicio contratado o la palabra elegida en un formulario no resuelven la cuestión. Lo decisivo es quién fija el fin y los medios esenciales, quién sigue instrucciones y si varias partes diseñan conjuntamente la operación.

Respuesta rápida: Para decidir si una parte es responsable o encargado del tratamiento, delimite una actividad y pregunte quién decide su finalidad y sus medios esenciales. El responsable toma esas decisiones; el encargado actúa por cuenta del responsable siguiendo instrucciones. Si varias partes deciden conjuntamente, pueden ser corresponsables. El contrato debe reflejar los hechos, no sustituirlos.

Última actualización: 26 de agosto de 2026.

Clasifique la actividad, no la empresa

El RGPD atribuye los roles por la función real desempeñada en un tratamiento determinado ¹. Antes de elegir un contrato, describa una operación con límites reconocibles: qué datos entran, de quién son, para qué se utilizan, qué resultado se busca y dónde termina el servicio; «gestionar la plataforma» es demasiado amplio si dentro de ella existen soporte, facturación, analítica y mejora del producto con decisiones diferentes.

La pregunta funcional evita dos errores frecuentes; el primero consiste en declarar que una organización es encargada para toda la relación porque presta un servicio. El segundo consiste en creer que quien posee la base de datos siempre es responsable. La custodia, el acceso técnico o la infraestructura pueden ser relevantes, pero no sustituyen el análisis de las decisiones sobre el propósito y los elementos esenciales.

Una misma organización suele ocupar más de un rol; puede tratar los datos de contacto de sus propios clientes para administrar la relación que ella diseñó y, en otra actividad separada, alojar registros de una contraparte sin utilizarlos para fines propios. También puede haber actividades en las que ninguna de las dos partes analizadas ocupe el rol supuesto, por ejemplo porque otra entidad independiente toma las decisiones pertinentes.

Las cláusulas son evidencia de la intención y deben corresponder a la operación, pero no convierten una realidad en otra; si una parte llamada «encargada» decide reutilizar datos para una finalidad independiente, será responsable de ese uso. El expediente de clasificación debe mostrar los hechos que justifican el resultado y no limitarse a copiar la etiqueta del proveedor. Las directrices europeas desarrollan este enfoque funcional y por actividad ².

Tres resultados posibles de un vistazo

La clasificación no es una elección binaria entre responsable y encargado; al separar la actividad aparecen tres rutas documentales principales. Antes de escoger una, conviene comprobar si cada parte decide sus propios fines, si existe una determinación conjunta o si una actúa únicamente por cuenta de la otra.

Delimite primero una actividad y determine a partir de los hechos quién decide sus fines y medios esenciales; la etiqueta contractual no cambia el rol ^1,2.

Las decisiones conjuntas indispensables llevan al artículo 26, mientras que el tratamiento dentro de las instrucciones de la otra parte lleva al artículo 28. Los fines propios llevan a condiciones entre responsables separados; si no existe ninguno de estos roles en el ámbito delimitado, documente ese resultado.

También es posible concluir que una parte no participa en la actividad analizada; una entidad que suministra un recurso sin acceder a datos personales ni determinar su tratamiento no se convierte por ello en responsable o encargada. Ese resultado «ninguno de los dos» debe anotarse con el mismo cuidado, porque evita imponer contratos que describen un tratamiento inexistente.

El documento equivocado no reduce el riesgo; un acuerdo del artículo 28 no convierte a dos decisores independientes en responsable y encargado; un acuerdo de corresponsabilidad tampoco crea decisiones conjuntas donde solo existe una prestación bajo instrucciones. El resultado se obtiene de los hechos y luego se formaliza. La guía para pequeñas empresas del Comité Europeo de Protección de Datos resume la distinción con el mismo criterio práctico ³.

El propósito y los medios esenciales identifican el control

El propósito responde a por qué se realiza el tratamiento; no basta con describir una acción, como almacenar, ordenar o enviar datos. Hay que expresar el resultado perseguido: prestar una función solicitada, administrar una relación propia, medir un rendimiento decidido por una parte o desarrollar una utilización independiente. Quien introduce un objetivo nuevo ejerce control respecto de ese objetivo, aunque otra parte haya recogido inicialmente los datos.

Los medios esenciales son las decisiones que definen el alcance sustantivo: qué personas quedan incluidas, qué categorías de datos se utilizan, quién recibe información y cuánto dura la operación; el responsable debe decidirlos o conservar autoridad efectiva sobre ellos. Un encargado puede proponer opciones y aportar experiencia, pero no puede apropiarse de esas decisiones sin alterar su papel.

La frontera exige contexto; la selección de un servidor concreto suele ser una decisión técnica no esencial; decidir que los datos se conserven durante años para crear un recurso comercial distinto es una decisión sobre finalidad y duración. Del mismo modo, una recomendación técnica no transfiere automáticamente el control, siempre que el responsable entienda la consecuencia, pueda decidir y documente su elección.

La práctica debe mostrar quién tuvo autoridad, no quién redactó la presentación; guarde propuestas, instrucciones aprobadas, matrices de configuración, decisiones de cambio y motivos. Si el proveedor ofrece una única modalidad, analice si el cliente conserva una elección real sobre usar ese tratamiento y sus elementos esenciales. El poder de negociación desigual puede explicar el contexto, pero por sí solo no decide el rol.

El encargado conserva margen de ejecución

Actuar bajo instrucciones no significa trabajar sin criterio técnico; el encargado puede escoger métodos no esenciales para prestar el servicio: la distribución interna de recursos, determinadas herramientas, la secuencia de tareas o configuraciones de seguridad que cumplen el resultado requerido. Ese margen hace posible una prestación competente y no transforma por sí mismo al encargado en responsable.

El límite aparece cuando una elección cambia el porqué, las personas, los datos, los destinatarios o la duración; también aparece si la información se combina para una utilización propia que no era necesaria para ejecutar la instrucción. La prueba debe aplicarse al uso concreto y no a la capacidad general del sistema. Una función disponible pero desactivada no tiene el mismo efecto que una reutilización activa.

Tres preguntas diagnósticas revelan si la discreción técnica ha cruzado esa frontera:

• ¿La parte puede explicar la decisión únicamente como una forma de ejecutar la finalidad y las instrucciones documentadas, sin obtener una utilización independiente?
• ¿La elección conserva las personas, las categorías de datos, los destinatarios y la duración que decidió el responsable, o modifica alguno de esos elementos esenciales?
• ¿El responsable conocía la opción, podía rechazarla o fijar límites reales y conserva evidencia de la instrucción que la autoriza?

Una respuesta negativa no decide automáticamente el caso, pero identifica el punto que requiere análisis; si existe una nueva finalidad, la parte será responsable para ese tratamiento adicional. Si solo hay una implementación necesaria dentro de límites efectivos, puede seguir siendo encargada. Documentar la frontera es más útil que intentar eliminar toda discreción con una cláusula imposible de operar.

La corresponsabilidad es una tercera rama propia

La corresponsabilidad surge cuando dos o más partes determinan conjuntamente los fines y los medios esenciales del mismo tratamiento; la decisión puede ser común, adoptada de forma expresa, o resultar de decisiones convergentes y complementarias. En este segundo caso, la contribución de cada parte debe ser indispensable: sin una de ellas, el tratamiento no se produciría tal como fue diseñado ².

No toda colaboración crea corresponsabilidad. Compartir un interés comercial, beneficiarse de una operación, cooperar, acceder a resultados o depender económicamente de otra parte son indicios contextuales, no sustitutos de la prueba. Tampoco basta con que ambas partes tengan alguna influencia. Hay que identificar qué decisión sobre finalidad o medios esenciales aporta cada una y por qué las contribuciones se integran en una única operación.

El análisis empieza dibujando la secuencia. Señale quién inicia la actividad, quién define las personas y los datos, quién fija el objetivo, quién determina los destinatarios y quién puede detener o rediseñar el tratamiento. Después pruebe la indispensabilidad: si se elimina la decisión de una parte, ¿se mantiene el mismo tratamiento o aparece otro distinto? Una cooperación que solo facilita actividades separadas apunta a responsables separados, no a corresponsables.

El alcance puede ser parcial. Dos partes pueden ser corresponsables durante la recogida y transmisión diseñadas conjuntamente, y responsables separados para usos posteriores independientes. El acuerdo del artículo 26 debe reflejar ese límite, asignar de forma transparente las obligaciones, identificar un punto de contacto cuando proceda y permitir que las personas ejerzan sus derechos frente a cada responsable, con independencia del reparto interno ¹.

El reparto contractual tampoco elimina la responsabilidad material. Sirve para que las obligaciones se cumplan de forma coordinada, no para ocultar quién decide. Cuando la evidencia no muestra decisiones indispensables, no se debe escoger la corresponsabilidad como término medio prudente. La clasificación más cautelosa es la que describe fielmente los hechos y permite aplicar las obligaciones adecuadas.

Una relación de servicio puede contener varios roles

Imagine un servicio digital sin asociarlo a una profesión o categoría nacional. En la primera actividad, el cliente decide qué registros cargar, para qué proceso propio, qué personas quedan incluidas y cuándo deben borrarse. El prestador almacena, organiza y devuelve esos registros según instrucciones. Para esa actividad delimitada, el cliente es responsable y el prestador actúa como encargado.

En una segunda actividad, el prestador gestiona sus propios datos de cuenta, facturación, prevención de uso indebido y defensa de reclamaciones. Decide las finalidades necesarias para su relación y los medios esenciales correspondientes. En ese ámbito actúa como responsable separado. El hecho de que las mismas dos entidades aparezcan en ambas actividades no justifica trasladar la etiqueta de una a otra.

Una tercera función podría haber sido diseñada mediante decisiones complementarias: ambas partes fijan conjuntamente qué personas participan, qué datos se recopilan y el resultado compartido, y ninguna contribución puede retirarse sin cambiar el tratamiento. Solo entonces se analiza una posible corresponsabilidad. No basta con que el cliente active una opción creada por el prestador ni con que ambos obtengan algún beneficio.

La separación práctica se consigue con un inventario por actividad. Cada fila describe finalidad, personas, datos, decisiones de cada parte, instrucciones y ruta documental. Los flujos que comparten infraestructura pueden seguir teniendo roles diferentes. En consecuencia, los controles de acceso, conservación y respuesta a derechos deben poder seguir esos límites y no una etiqueta global de «proveedor» o «cliente».

Este ejemplo abstracto evita atajos basados en ocupaciones cuya posición puede depender del Derecho nacional. La prueba portable es siempre quién determina el propósito y los medios esenciales. Si los hechos son ambiguos, reduzca el alcance hasta que pueda responder esa pregunta para una operación observable, en lugar de compensar la incertidumbre con un contrato más largo.

Dirija el resultado a las condiciones correctas

Una vez clasificada la actividad, la ruta documental debe seguir inmediatamente. El objetivo no es acumular formularios, sino convertir el resultado en instrucciones, responsabilidades y mecanismos que las personas puedan utilizar. Cada instrumento responde a una relación diferente y deja sin resolver las obligaciones propias de las otras dos.

El orden importa. Si se empieza con una plantilla, sus casillas pueden dirigir el análisis hacia la respuesta que la plantilla presupone. Primero se registra la actividad y las decisiones; después se escoge el instrumento. Cuando una relación contiene varias actividades, pueden coexistir documentos o capítulos distintos, pero cada uno debe identificar claramente qué tratamiento cubre.

Un contrato incorrecto no cura los hechos y puede crear una falsa sensación de control. Exigir que un responsable separado siga «instrucciones» imposibles de imponer no satisface la transparencia ni define su base jurídica. Llamar responsable a un encargado puede ocultar la cadena de subencargados y la asistencia exigida. El remedio es corregir la clasificación, no añadir una declaración de prevalencia.

Cuando un servicio reúne varias actividades, no resuelva la mezcla declarando que un único formulario prevalece sobre todas. Separe el tratamiento bajo instrucciones, el uso independiente y cualquier diseño conjunto; asigne a cada uno su ruta y marque dónde empieza y termina. Después, las áreas operativas deben validar canales, propietarios y capacidad real de cumplimiento. Si hechos y documento no coinciden, cambie la operación o el texto: la firma no transforma una actividad ni corrige su clasificación.

Conserve un registro de decisión reutilizable

El análisis debe poder repetirse sin empezar desde cero. Un registro breve pero completo permite entender qué se decidió, con qué evidencia y qué cambio obliga a revisar. Debe pertenecer a una actividad específica y señalar al propietario operativo que conoce el servicio, no quedar como una nota aislada del equipo jurídico.

El registro no necesita reproducir toda la documentación. Debe enlazar internamente con la evidencia y explicar la inferencia de forma que otra persona pueda cuestionarla. Frases como «el proveedor es encargado» no bastan; indique quién fijó la finalidad, qué medios esenciales controló cada parte y por qué las decisiones técnicas restantes no cambiaron el rol.

Registre también las alternativas descartadas. Si la corresponsabilidad se examinó y se rechazó porque las decisiones no eran indispensables, esa conclusión evita que el debate reaparezca sin hechos nuevos. Si una utilización propia se separó del servicio bajo instrucciones, identifique el punto de separación. Una fecha, un propietario y un activador verificable convierten la nota en un control vivo.

En caso de duda sobre el interlocutor competente en España, la Agencia Española de Protección de Datos (AEPD) ofrece el canal oficial de contacto. Ese enlace orienta al lector; las conclusiones sustantivas de este artículo siguen basándose en el RGPD y en las fuentes europeas enumeradas.

Las obligaciones inmediatas siguen al rol

El responsable conserva la obligación de demostrar el cumplimiento. Debe establecer finalidad y base, facilitar transparencia, respetar los derechos, limitar datos y conservación, seleccionar encargados con garantías suficientes y supervisar el tratamiento. Delegar operaciones no delega la rendición de cuentas. Cuando utiliza encargados y subencargados, necesita una visión fiable de la cadena y de los riesgos relevantes ⁴.

El encargado debe tratar los datos solo conforme a instrucciones documentadas, asegurar la confidencialidad, aplicar seguridad adecuada, respetar el régimen de subencargados, prestar la asistencia exigida, devolver o suprimir los datos al terminar y permitir la información y auditoría pertinentes. Si determina fines y medios de un tratamiento adicional, deja de actuar como encargado respecto de ese uso y asume las obligaciones de responsable ¹.

Los corresponsables deben asignar de forma transparente sus responsabilidades, especialmente para informar y atender derechos, y poner los elementos esenciales del acuerdo a disposición de las personas. El reparto puede tener en cuenta quién está mejor situado para actuar, pero no impide que una persona ejerza sus derechos frente a cualquiera de ellos.

Los responsables separados cumplen cada uno sus propias obligaciones respecto de sus finalidades. Un intercambio puede exigir coordinación sobre seguridad, exactitud, incidencias o derechos, pero esa coordinación no convierte automáticamente una relación independiente en corresponsabilidad. La clasificación define el punto de partida; después cada obligación debe traducirse en una práctica con dueño, plazo, canal y evidencia.

Reevalúe cuando cambien los hechos

La clasificación no es permanente. Debe abrirse de nuevo cuando cambien la finalidad, los datos, las personas afectadas, los destinatarios o la conservación. También cuando se incorporen usuarios con nuevas capacidades, integraciones, ubicaciones, subencargados o funcionalidades que desplacen el límite de las instrucciones. La renovación automática de un contrato no prueba que el análisis siga vigente.

Preste especial atención a la reutilización independiente y al entrenamiento de modelos. Si una parte empieza a combinar registros para desarrollar productos, crear perfiles propios o mejorar una función fuera de la instrucción original, delimite ese tratamiento y vuelva a preguntar quién decide su fin y medios esenciales. No lo esconda dentro de una autorización general de «mejora del servicio».

El activador debe generar una acción concreta: comparar los nuevos hechos con el registro, confirmar o cambiar la clasificación, actualizar la ruta documental y comunicar las nuevas instrucciones o responsabilidades. Si el resultado cambia, revise también transparencia, base jurídica, derechos, seguridad, conservación y cadena de terceros. Una modificación funcional pequeña puede tener un efecto jurídico mayor que una renovación comercial completa.

La revisión periódica sirve como respaldo, pero los eventos son el control principal. Asigne a alguien que reciba avisos de producto, contratación y operaciones, y que pueda reconocer cuándo una decisión técnica se ha vuelto esencial. Un registro actualizado permite explicar no solo el resultado actual, sino también cuándo y por qué dejó de ser correcto el anterior.