Responsable y encargado del tratamiento

El mapa del tema

Los artículos 24 a 31 regulan responsabilidad, diseño, relaciones y registros; los artículos 32 a 36 tratan seguridad e impacto; los artículos 37 a 43 regulan delegado, códigos y certificación. (art. 31, art. 34, art. 36, art. 39)

Medidas del responsable

El responsable debe seleccionar medidas técnicas y organizativas considerando naturaleza, ámbito, contexto, fines y riesgos, con la doble finalidad de cumplir y demostrar la conformidad del tratamiento. (art. 24)

Las medidas de responsabilidad deben revisarse y actualizarse cuando resulte necesario. Además, cuando sean proporcionadas, pueden incluir políticas de protección de datos aplicadas por el propio responsable. (art. 24)

Protección desde el diseño

El responsable debe aplicar medidas apropiadas al determinar los medios y durante el tratamiento, concebidas para aplicar efectivamente principios como la minimización e integrar las garantías necesarias. (art. 25)

Por defecto solo pueden tratarse los datos necesarios para cada finalidad específica. La obligación alcanza cantidad recogida, extensión del tratamiento, conservación y accesibilidad de los datos personales. (art. 25)

Concepto de corresponsabilidad

Existe corresponsabilidad cuando dos o más responsables determinan conjuntamente los objetivos y los medios del tratamiento. Deben fijar transparentemente sus responsabilidades respectivas mediante acuerdo mutuo. (art. 26)

Aunque exista acuerdo entre corresponsables, los interesados conservan la posibilidad de ejercer los derechos reconocidos por el Reglamento frente a cada uno de los responsables. (art. 26)

Representante en la Unión

Cuando sea aplicable el artículo 3, apartado 2, el responsable o encargado debe designar por escrito un representante en la Unión, salvo las excepciones expresamente previstas. (art. 27)

El representante atiende consultas de autoridades de control e interesados sobre asuntos relativos al tratamiento, junto al responsable o encargado, o en su lugar, para garantizar el cumplimiento. (art. 27)

Elección del encargado

Cuando el tratamiento se realice por cuenta del responsable, este solo puede elegir un encargado que ofrezca garantías suficientes para aplicar medidas apropiadas y proteger los derechos del interesado. (art. 28)

El tratamiento por el encargado se rige por contrato u otro acto jurídico vinculante que determine, entre otros extremos, objeto, duración, naturaleza, finalidad, datos, interesados y obligaciones. (art. 28)

Tratamiento bajo autoridad

El encargado y cualquier persona sometida a la autoridad del responsable o encargado que acceda a datos personales solo puede tratarlos siguiendo instrucciones del responsable, salvo obligación jurídica aplicable. (art. 29)

La regla de tratamiento sujeto a instrucciones comprende expresamente al encargado y a cualquier persona que actúe bajo la autoridad del responsable o del encargado con acceso a datos personales. (art. 29)

Registro del responsable

Cada responsable y, en su caso, su representante debe llevar un registro de las actividades de tratamiento efectuadas bajo su responsabilidad con la información exigida legalmente. (art. 30)

Las obligaciones de registro no se aplican, en principio, a empresas u organizaciones con menos de 250 personas, pero existen excepciones vinculadas a riesgo, habitualidad y categorías de datos. (art. 30)

Deber de cooperación

El responsable, el encargado y, cuando proceda, sus representantes deben cooperar con la autoridad de control que lo solicite para que esta desempeñe sus funciones. (art. 31)

La cooperación con la autoridad de control no se limita al responsable: el precepto incluye también al encargado y, en su caso, a los representantes de ambos. (art. 31)

Seguridad adecuada al riesgo

Responsable y encargado aplican medidas técnicas y organizativas apropiadas para alcanzar un nivel de seguridad adecuado al riesgo, atendiendo también al estado de la técnica y costes de aplicación. (art. 32)

Entre las medidas que pueden integrar una seguridad adecuada figuran la seudonimización y cifrado, la resiliencia, la restauración rápida de disponibilidad y la verificación periódica de eficacia. (art. 32)

Notificación a la autoridad

Ante una violación de seguridad, el responsable notifica sin dilación indebida a la autoridad competente y, si es posible, dentro de las 72 horas desde que tuvo constancia. (art. 33)

El responsable debe documentar toda violación de seguridad, incluidos hechos, efectos y medidas correctivas, permitiendo que la autoridad de control verifique el cumplimiento del artículo. (art. 33)

Comunicación por alto riesgo

Cuando sea probable un alto riesgo para derechos y libertades de personas físicas, el responsable comunica la violación de seguridad al interesado sin dilación indebida. (art. 34)

No es necesaria la comunicación al interesado si se aplicaron medidas que hagan ininteligibles los datos, si desaparece el alto riesgo o si la comunicación exige esfuerzo desproporcionado. (art. 34)

Cuándo realizar evaluación de impacto

El responsable realiza una evaluación de impacto antes del tratamiento cuando sea probable que un tipo de tratamiento, especialmente con nuevas tecnologías, entrañe alto riesgo para derechos y libertades. (art. 35)

La evaluación de impacto debe incluir descripción sistemática, necesidad y proporcionalidad, riesgos para los interesados y medidas previstas para afrontarlos, incluyendo garantías y mecanismos de conformidad. (art. 35)

Consulta por riesgo no mitigado

El responsable consulta a la autoridad de control antes de proceder al tratamiento cuando la evaluación de impacto muestre alto riesgo y no adopte medidas para mitigarlo. (art. 36)

En la consulta previa, el responsable facilita responsabilidades implicadas, fines y medios, medidas y garantías, datos del delegado cuando proceda, evaluación de impacto y demás información solicitada. (art. 36)

Supuestos de designación obligatoria

Responsable y encargado designan delegado de protección de datos cuando concurra autoridad u organismo público, observación habitual y sistemática a gran escala, o tratamiento a gran escala de categorías especiales o datos penales. (art. 37)

El responsable o encargado debe publicar los datos de contacto del delegado de protección de datos y comunicarlos a la autoridad de control. (art. 37)

Participación y recursos del delegado

Responsable y encargado garantizan que el delegado participe adecuada y oportunamente en todas las cuestiones de protección de datos y le facilitan recursos y acceso necesarios para sus funciones. (art. 38)

El delegado no recibe instrucciones sobre el desempeño de sus funciones, no puede ser destituido ni sancionado por realizarlas y rinde cuentas directamente al nivel jerárquico más alto. (art. 38)

Función de asesoramiento

El delegado informa y asesora al responsable, al encargado y a empleados que tratan datos sobre las obligaciones derivadas del Reglamento y de otras normas de protección de datos aplicables. (art. 39)

Entre las funciones mínimas del delegado figuran supervisar cumplimiento, asesorar sobre evaluación de impacto, cooperar con la autoridad de control y actuar como punto de contacto ante ella. (art. 39)

Finalidad de los códigos

Estados miembros, autoridades de control, Comité y Comisión promueven códigos de conducta destinados a contribuir a la correcta aplicación del Reglamento, considerando sectores y necesidades de pequeñas empresas. (art. 40)

La Comisión puede decidir mediante actos de ejecución que un código de conducta aprobado y presentado conforme al procedimiento previsto tenga validez general dentro de la Unión. (art. 40)

Acreditación de supervisores

Un organismo puede supervisar el cumplimiento de un código de conducta si posee pericia adecuada sobre su objeto y ha sido acreditado para esa finalidad por la autoridad competente. (art. 41)

Con garantías adecuadas, el organismo supervisor adopta medidas ante infracciones del código, incluida suspensión o exclusión, e informa a la autoridad competente de las medidas y sus razones. (art. 41)

Naturaleza de la certificación

La certificación es voluntaria y debe estar disponible mediante un proceso transparente. Su existencia no limita la responsabilidad del responsable o encargado respecto del cumplimiento del Reglamento. (art. 42)

La certificación se expide por un máximo de tres años y puede renovarse en las mismas condiciones mientras se mantengan los requisitos pertinentes; procede retirarla si dejan de cumplirse. (art. 42)

Acreditación de certificadores

Los organismos de certificación expiden y renuevan certificaciones tras informar a la autoridad de control, y los Estados miembros garantizan su acreditación por las entidades previstas. (art. 43)

Los organismos de certificación responden de la correcta evaluación para certificación o retirada, sin perjuicio de la responsabilidad del responsable o encargado respecto al cumplimiento del Reglamento. (art. 43)

Trampas de examen

• La adhesión a códigos de conducta o mecanismos de certificación puede servir para demostrar cumplimiento, pero el texto los presenta como elementos probatorios y no como sustitutos generales de obligaciones. (art. 24, art. 42)
• La comunicación al interesado depende de la probabilidad de alto riesgo. Incluso cuando se da ese presupuesto, el artículo contempla condiciones en las que la comunicación no será necesaria. (art. 34)
• Si el encargado infringe el Reglamento al determinar los fines y medios del tratamiento, pasa a ser considerado responsable respecto de ese tratamiento, con independencia de otras previsiones aplicables. (art. 28)
• La exención para organizaciones de menos de 250 personas tiene límites: no opera cuando el tratamiento pueda entrañar riesgo, no sea ocasional o incluya determinadas categorías de datos. (art. 30)
• El delegado de protección de datos puede desempeñar otras funciones y cometidos, pero responsable o encargado deben garantizar que ello no genere un conflicto de intereses. (art. 38)

Chuleta final

• Para memorizar el artículo 30: responsable y encargado llevan registros escritos, incluso electrónicos, y deben ponerlos a disposición de la autoridad de control que los solicite. (art. 30)
• Para memorizar la secuencia de brechas: el encargado informa al responsable sin dilación indebida; el responsable notifica a la autoridad y comunica al interesado cuando exista alto riesgo probable. (art. 33, art. 34)
• La evaluación de impacto es previa al tratamiento y se centra en operaciones con alto riesgo probable; una sola evaluación puede abarcar operaciones similares con altos riesgos similares. (art. 35)
• La consulta previa aparece después de la evaluación de impacto cuando persiste alto riesgo por falta de medidas mitigadoras del responsable; por tanto, no se configura como requisito universal. (art. 36)
• Para identificar corresponsables, busca determinación conjunta de objetivos y medios. El acuerdo puede designar un punto de contacto, pero no impide el ejercicio de derechos frente a cada responsable. (art. 26)
• El encargado no recurre a otro encargado sin autorización previa escrita del responsable. Si la autorización es general, debe informar de cambios previstos para permitir oposición. (art. 28)
• El delegado combina información y asesoramiento, supervisión, asesoramiento sobre evaluación de impacto, cooperación y función de contacto con la autoridad de control. (art. 39)
• La certificación es voluntaria, transparente y temporal: puede durar como máximo tres años, renovarse si subsisten requisitos y retirarse cuando no se cumplan. (art. 42)

Preguntas frecuentes