Encargado del tratamiento

El mapa del tema

El artículo conecta cinco cuestiones: acceso necesario para el servicio, determinación de la condición de responsable, destino de los datos al finalizar, conservación bloqueada por posibles responsabilidades y atribución de competencias de encargado a órganos del sector público mediante norma reguladora. (art. 33)

Artículo 33: acceso y condición jurídica

El artículo 33 regula que el acceso necesario del encargado para prestar un servicio no es comunicación de datos si se cumple la normativa aplicable. También identifica supuestos en los que quien figura como encargado pasa a ser considerado responsable del tratamiento. (art. 33)

El artículo 33 atribuye al responsable la decisión sobre destrucción, devolución o entrega de los datos al finalizar el servicio. Además, permite atribuir competencias de encargado a determinados órganos del sector público mediante una norma reguladora que incorpore el contenido exigido por el Reglamento. (art. 33)

Trampas de examen

• Es incorrecto afirmar que todo acceso del encargado a datos personales constituye comunicación de datos. El artículo excluye esa consideración cuando el acceso resulta necesario para prestar un servicio al responsable y se cumplen las normas expresamente indicadas. (art. 33)
• La existencia de un contrato o acto jurídico con el contenido del artículo 28.3 del Reglamento no impide que una persona sea considerada responsable si actúa en nombre propio y establece relaciones con los afectados sin constar que actúa por cuenta ajena. (art. 33)
• La regla que considera responsable a quien actúa en nombre propio y establece relaciones con los afectados no se aplica a los encargos de tratamiento efectuados dentro de la legislación de contratación del sector público. (art. 33)
• Un encargado que utilice los datos para sus propias finalidades no mantiene por ese hecho la condición de encargado. El artículo establece expresamente que tendrá la consideración de responsable del tratamiento. (art. 33)
• No procede destruir los datos cuando exista una previsión legal que obligue a conservarlos. En ese supuesto, deben devolverse al responsable, quien debe garantizar su conservación mientras persista la obligación legal. (art. 33)

Chuleta final

• Para que el acceso del encargado no se considere comunicación de datos deben concurrir dos elementos: que los datos sean necesarios para prestar el servicio al responsable y que se cumpla la normativa aplicable mencionada por el artículo. (art. 33)
• La decisión sobre destruir, devolver o entregar los datos al finalizar los servicios corresponde al responsable del tratamiento, no al encargado. El artículo atribuye expresamente esa determinación al responsable. (art. 33)
• Al finalizar la prestación de los servicios del encargado, el artículo contempla tres destinos para los datos personales: destrucción, devolución al responsable o entrega, cuando proceda, a un nuevo encargado. (art. 33)
• La conservación por el encargado está permitida cuando puedan derivarse responsabilidades de su relación con el responsable del tratamiento. Esa conservación debe realizarse con los datos debidamente bloqueados. (art. 33)
• Cuando una previsión legal imponga conservar los datos, el encargado no debe destruirlos. Debe devolverlos al responsable, que garantizará su conservación durante todo el tiempo en que persista esa obligación. (art. 33)
• En el sector público, las competencias propias de un encargado pueden atribuirse a órganos estatales, autonómicos, locales u organismos vinculados o dependientes de ellos, mediante una norma reguladora de esas competencias. (art. 33)
• La norma reguladora que atribuya competencias propias de un encargado en el sector público debe incorporar el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679. (art. 33)
• La actuación en nombre propio, unida al establecimiento de relaciones con los afectados sin constar actuación por cuenta de otro, determina la condición de responsable del tratamiento aunque exista un contrato o acto jurídico previsto reglamentariamente. (art. 33)

Preguntas frecuentes