Resposta Ràpida: Sota el GDPR, un responsable del tractament de dades determina per què i com es processen les dades personals, mentre que un encarregat del tractament gestiona les dades únicament segons les instruccions del responsable. La responsabilitat difereix significativament: els responsables assumeixen la responsabilitat més àmplia, mentre que els encarregats s'enfronten a responsabilitat directa només quan actuen fora de les instruccions legals o incompleixen les obligacions del GDPR dirigides específicament a ells.
Punts Clau
- Un responsable del tractament decideix els propòsits i els mitjans del tractament; un encarregat del tractament actua en nom del responsable.
- Els responsables assumeixen la responsabilitat principal del GDPR; els encarregats s'enfronten a responsabilitat directa segons l'Article 82 només en circumstàncies específiques.
- Ambdós rols poden coexistir dins d'una mateixa organització; una empresa pot ser responsable dels seus propis clients i encarregada d'un altre negoci.
- Un Acord de Tractament de Dades (DPA) legalment vinculant és obligatori sempre que un responsable contracti un encarregat.
- Els subencarregats requereixen autorització prèvia per escrit del responsable; l'encarregat principal segueix sent totalment responsable de la conducta del subencarregat.
- Classificar erròniament el teu rol és un risc de compliment que pot exposar la teva organització a sancions reguladores.
- Els encarregats que utilitzen dades personals per als seus propis propòsits es converteixen automàticament en responsables d'aquesta activitat de tractament.
- La Data (Use and Access) Act 2026 del Regne Unit introdueix canvis addicionals que les organitzacions que operen sota el GDPR del Regne Unit haurien de revisar ràpidament.
Quina és la Diferència Entre un Responsable del Tractament i un Encarregat del Tractament Sota el GDPR?
Un responsable del tractament de dades és qualsevol entitat que determina els propòsits i els mitjans del tractament de dades personals. Un encarregat del tractament de dades és qualsevol entitat que processa dades personals en nom d'un responsable, seguint estrictament les instruccions del responsable [1].
La distinció depèn de l'autoritat de presa de decisions. Si la teva organització decideix per què es recullen les dades i com s'utilitzaran, ets el responsable. Si la teva organització només gestiona dades perquè una altra entitat t'ha instruït a fer-ho, i no tens cap decisió independent sobre el propòsit, ets l'encarregat.
Exemples pràctics:
| Escenari | Rol |
|---|---|
| Un minorista de comerç electrònic que recull dades de compra de clients | Responsable |
| Un proveïdor d'allotjament al núvol que emmagatzema la base de dades d'aquest minorista | Encarregat |
| Una plataforma SaaS de nòmines que processa dades d'empleats per a un ocupador | Encarregat |
| Una agència de màrqueting que crea la seva pròpia llista de possibles clients | Responsable |
| Un proveïdor de CRM que accedeix a dades de clients per proporcionar suport | Encarregat |
L'ICO subratlla que l'etiqueta en un contracte no determina el rol, sinó que ho fa la conducta real [1]. Un proveïdor anomenat "encarregat" en un contracte, però que pren decisions independents sobre l'ús de les dades, és legalment un responsable, independentment del que digui l'acord.
Quines Són les Principals Responsabilitats d'un Responsable del Tractament Sota el GDPR?
Els responsables assumeixen la càrrega de compliment més pesada sota el GDPR. Són responsables de tot el cicle de vida de les dades i han d'assegurar que qualsevol encarregat que contractin compleixi els estàndards del GDPR [3].
Les obligacions principals del responsable inclouen:
- Establir i documentar una base legal per a cada activitat de tractament
- Proporcionar avisos de privacitat transparents als interessats
- Facilitar els drets dels interessats: accés, rectificació, supressió, portabilitat i oposició
- Realitzar Avaluacions d'Impacte de la Protecció de Dades (DPIA) per a tractaments d'alt risc
- Nomenar un Delegat de Protecció de Dades (DPO) quan sigui necessari
- Realitzar la diligència deguda abans de contractar encarregats i supervisar el seu compliment continu
- Executar un Acord de Tractament de Dades per escrit amb cada encarregat contractat [3]
Els responsables no poden externalitzar la responsabilitat. Fins i tot quan un encarregat causa una bretxa, el responsable segueix sent responsable davant les autoritats de supervisió per la seva elecció de l'encarregat i l'adequació de les salvaguardes contractuals.
Quines Són les Principals Responsabilitats d'un Encarregat del Tractament Sota el GDPR?
Els encarregats tenen obligacions directes del GDPR, no només contractuals, i no poden tractar el compliment com un problema exclusiu del responsable [3].
Les obligacions directes de l'encarregat sota el GDPR inclouen:
- Tractar dades només segons les instruccions documentades del responsable
- Implementar mesures de seguretat tècniques i organitzatives adequades
- Mantenir registres de totes les activitats de tractament realitzades en nom dels responsables
- Notificar al responsable qualsevol bretxa de dades sense dilació indeguda
- Assistir al responsable en el compliment de les sol·licituds de drets dels interessats
- Suprimir o retornar totes les dades personals en finalitzar el contracte
- Contractar subencarregats només amb autorització prèvia per escrit del responsable [3]
"Els encarregats tenen obligacions directes sota el GDPR, no només deures contractuals, i s'enfronten a l'exposició reguladora si actuen fora de les instruccions legals del responsable."
Qui és Responsable Si Hi Ha una Bretxa de Dades: el Responsable o l'Encarregat?
Ambdós poden ser responsables, però l'abast difereix. Segons l'Article 82 del GDPR, qualsevol persona que pateixi danys per una infracció del GDPR té dret a reclamar una indemnització al responsable o encarregat del tractament responsable [2].
Els responsables són responsables dels danys causats per qualsevol tractament que infringeixi el GDPR. Els encarregats són responsables només quan han incomplert les obligacions del GDPR dirigides específicament als encarregats, o quan han actuat fora o en contra de les instruccions legals del responsable [2].
Assignació de responsabilitat a la pràctica:
- Si un encarregat pateix una bretxa perquè el responsable va donar instruccions de seguretat inadequades, el responsable probablement assumeix la responsabilitat principal.
- Si un encarregat va ignorar els requisits de seguretat del responsable, l'encarregat assumeix la responsabilitat directa.
- Ambdós poden ser considerats responsables solidaris, el que significa que un interessat pot demandar qualsevol de les parts per l'import total dels danys, deixant-los a ells la tasca de repartir la responsabilitat entre ells posteriorment.
Un encarregat pot escapar de la responsabilitat demostrant que no va ser culpable de l'esdeveniment que va causar el dany [2]. Aquesta és una barra alta: l'encarregat ha de demostrar el compliment total de les seves obligacions del GDPR.
Pot una Empresa Ser al mateix Temps Responsable i Encarregat?
Sí. Una organització pot actuar simultàniament com a responsable per a algunes activitats de tractament i com a encarregat per a altres, fins i tot dins de la mateixa relació comercial [1].
Per exemple, una agència de màrqueting digital pot actuar com a responsable quan gestiona les dades de recursos humans dels seus propis empleats, i com a encarregat quan executa campanyes publicitàries utilitzant dades de clients d'un client. El rol es determina activitat per activitat, no empresa per empresa.
Pot un Encarregat Convertir-se en Responsable Si Utilitza Dades per als Seus Propis Propòsits?
Un encarregat es converteix automàticament en responsable en el moment en què utilitza dades personals per a propòsits més enllà de les instruccions del responsable [1]. Aquesta és una de les classificacions errònies més importants a la pràctica.
Si un proveïdor d'anàlisi al núvol comença a extreure dades de clients per entrenar els seus propis models d'IA sense autorització, ha sortit del rol d'encarregat i ha assumit l'estatus de responsable per a aquesta activitat, amb totes les obligacions del GDPR i l'exposició a la responsabilitat que això comporta. Cap clàusula contractual pot evitar aquesta reclassificació; és una qüestió de fet, no d'acord.
Com Protegeixen els Acords de Tractament de Dades els Encarregats de la Responsabilitat?
Un Acord de Tractament de Dades (DPA) és un instrument legal obligatori sota el GDPR sempre que un responsable contracta un encarregat [3]. Per als encarregats, un DPA ben redactat és el mecanisme principal per limitar l'exposició a la responsabilitat.
Un DPA conforme ha d'especificar:
- L'objecte, la durada, la naturalesa i la finalitat del tractament
- El tipus de dades personals i les categories d'interessats implicats
- Les obligacions i drets del responsable
- Els requisits de confidencialitat per al personal autoritzat
- Les mesures de seguretat a implementar
- Les condicions per contractar subencarregats
- Els procediments per retornar o suprimir dades al final del contracte [3]
Quan un encarregat actua estrictament dins de l'abast del DPA, la responsabilitat per qualsevol dany resultant recau predominantment en el responsable. Per contra, si un encarregat excedeix aquestes instruccions, el DPA es converteix en prova de la desviació en lloc d'un escut.
Què Passa Si un Encarregat Viola les Normes del GDPR?
Els encarregats que violen el GDPR s'enfronten tant a multes reguladores com a responsabilitat civil per danys. Les autoritats de supervisió poden imposar multes administratives directament als encarregats, fins a 20 milions d'euros o el 4% de la facturació anual global per les infraccions més greus, el que sigui superior [2].
Més enllà de les multes, els encarregats s'enfronten a reclamacions segons l'Article 82 dels interessats que van patir danys. També poden enfrontar-se a responsabilitat contractual davant el responsable segons el DPA, incloses les obligacions d'indemnització.
Necessiten els Encarregats el Seu Propi Delegat de Protecció de Dades?
Els encarregats estan subjectes als mateixos llindars de nomenament de DPO que els responsables. Un encarregat ha de nomenar un DPO si realitza un seguiment sistemàtic a gran escala d'individus, o processa categories especials de dades o dades de condemnes penals a gran escala [1].
Ser un encarregat no eximeix una organització del requisit de DPO. Molts grans proveïdors de núvol i plataformes SaaS que actuen com a encarregats estan obligats a mantenir un DPO precisament a causa del volum i la sensibilitat de les dades que gestionen.
Quina és la Diferència en les Multes del GDPR Entre Responsables i Encarregats?
L'estructura de multes de dos nivells del GDPR s'aplica igualment a responsables i encarregats. El primer nivell cobreix infraccions menys greus (fins a 10 milions d'euros o el 2% de la facturació global); el segon nivell cobreix les violacions més greus, inclòs el tractament il·lícit i l'incompliment dels drets dels interessats (fins a 20 milions d'euros o el 4% de la facturació global) [2].
No hi ha un descompte legal per als encarregats. No obstant això, a la pràctica, les autoritats de supervisió avaluen la culpabilitat, la cooperació i la naturalesa de la infracció a l'hora de determinar els imports de les multes, factors que poden donar lloc a resultats diferents per als responsables enfront dels encarregats en el mateix incident.
Tenen els Subencarregats una Responsabilitat Diferent a la dels Encarregats Principals?
Els subencarregats tenen les mateixes obligacions del GDPR que els encarregats principals, però estan vinculats contractualment a l'encarregat principal en lloc de directament al responsable. La distinció crítica: l'encarregat principal segueix sent totalment responsable davant el responsable del rendiment del subencarregat [3].
Si un subencarregat causa una bretxa, el recurs legal del responsable es dirigeix contra l'encarregat principal. L'encarregat principal haurà de perseguir el subencarregat per separat. Els subencarregats també poden enfrontar-se a accions reguladores directes de les autoritats de supervisió per les seves pròpies violacions del GDPR.
Normes dels subencarregats d'un cop d'ull:
- Es requereix autorització prèvia per escrit del responsable abans de contractar qualsevol subencarregat
- L'encarregat principal ha d'imposar obligacions de protecció de dades equivalents al subencarregat
- L'encarregat principal no pot escapar de la responsabilitat assenyalant la culpa del subencarregat
Com Determineu Si Sou un Responsable o un Encarregat per al vostre Negoci?
La determinació es basa en una única pregunta: la vostra organització decideix de manera independent per què es processen les dades personals? Si la resposta és sí, sou un responsable. Si només processeu dades perquè una altra entitat us ha instruït a fer-ho, i no teniu cap propòsit independent, sou un encarregat [1].
Una llista de verificació de decisions pràctica:
- Qui va decidir recollir aquestes dades en primer lloc?
- Qui va determinar per a què s'utilitzarien les dades?
- La vostra organització té discreció sobre com es processen les dades, o seguiu les especificacions d'una altra part?
- El processament s'aturaria si l'altra part retirés les seves instruccions?
- Utilitzeu les dades per a algun propòsit que beneficiï la vostra organització de manera independent?
Si les vostres respostes apunten en diferents direccions en aquestes preguntes, podeu ser un responsable conjunt, una situació que requereix un acord de transparència separat amb l'altra part [1].
Quins Són els Errors Comuns que Cometen les Empreses amb els Rols de Responsable i Encarregat?
La classificació errònia és l'error més prevalent, i comporta conseqüències reals de compliment. Les organitzacions sovint assumeixen que ser anomenades "proveïdor" o "prestador de serveis" en un contracte les converteix en encarregats, quan la seva conducta real les qualifica com a responsables.
Altres errors freqüents:
- Ometre el DPA: Els responsables que contracten encarregats sense un DPA per escrit incompleixen directament el GDPR, independentment de la seguretat dels sistemes de l'encarregat.
- No verificar els subencarregats: Els responsables sovint passen per alt que el seu encarregat ha contractat subencarregats sense autorització o proteccions contractuals equivalents.
- Assumir que els encarregats gestionen els drets dels interessats: Els responsables segueixen sent responsables de respondre a les sol·licituds dels interessats; els encarregats només ajuden.
- Ignorar el risc de reclassificació: Els encarregats que amplien els seus serveis i comencen a utilitzar dades de clients per a anàlisis, entrenament de models o benchmarking poden convertir-se inadvertidament en responsables sense reconèixer el canvi.
Per a les organitzacions que gestionen el consentiment i els fluxos de dades a través de llocs web i propietats digitals, una plataforma de gestió del consentiment com Biscotti CMP pot ajudar els responsables a documentar les bases legals i gestionar els registres de consentiment, un element fonamental de la responsabilitat del responsable sota el GDPR.
Com hauria de Gestionar una Petita Empresa les Responsabilitats de Responsable vs. Encarregat?
Les petites empreses no estan exemptes del marc responsable-encarregat del GDPR. Si una petita empresa recull dades de clients, fins i tot només adreces de correu electrònic per a un butlletí, és un responsable i ha de complir totes les obligacions del responsable.
Passos pràctics per a petites empreses:
- Mapeja cada eina o proveïdor que gestiona dades personals en el teu nom (plataformes de correu electrònic, eines d'anàlisi, processadors de pagament, CRMs).
- Confirma si existeix un DPA signat amb cada proveïdor.
- Verifica que el DPA de cada proveïdor compleix els requisits mínims del GDPR.
- Publica un avís de privacitat conforme que descrigui amb precisió les teves activitats de tractament.
- Estableix un procés per respondre a les sol·licituds dels interessats dins del termini legal de 30 dies.
La Data (Use and Access) Act 2026 del Regne Unit, que va rebre l'Assentiment Reial el 19 de juny de 2026, introdueix modificacions addicionals a la llei de protecció de dades que les petites empreses amb seu al Regne Unit haurien de revisar amb assessorament legal per assegurar que les seves obligacions de responsable es mantenen actualitzades [1].
Preguntes Freqüents
P: Una empresa SaaS és sempre un encarregat? Una empresa SaaS és un encarregat només quan processa dades personals estrictament en nom dels seus clients i sense cap propòsit independent. Si utilitza dades de clients per a les seves pròpies anàlisis, millora de productes o màrqueting, es converteix en responsable d'aquestes activitats.
P: Un encarregat necessita registrar-se davant una autoritat de supervisió? Els requisits de registre varien segons l'estat membre de la UE. No obstant això, els encarregats han de mantenir Registres d'Activitats de Tractament (RoPA) interns segons l'Article 30 del GDPR si empren 250 o més persones, o si el tractament és probable que comporti un risc per als interessats.
P: Pot un encarregat rebutjar una instrucció d'un responsable? Sí, si seguir la instrucció requeriria que l'encarregat violés el GDPR. En aquests casos, l'encarregat hauria de notificar al responsable i, si la instrucció no es corregeix, pot ser que hagi de rescindir la relació.
P: Què és un acord de corresponsabilitat? Els corresponsables existeixen quan dues o més entitats determinen conjuntament els propòsits i els mitjans del tractament. Han de documentar les seves respectives responsabilitats en un acord transparent i posar l'essència d'aquest acord a disposició dels interessats [1].
P: Quant de temps ha de romandre en vigor un DPA? Un DPA ha de romandre en vigor durant la durada de la relació de tractament. En finalitzar, regeix l'obligació de l'encarregat de suprimir o retornar totes les dades personals.
P: Els encarregats són responsables de les multes imposades als responsables? No. Les multes s'avaluen contra l'entitat que va cometre la infracció. No obstant això, els encarregats poden enfrontar-se a multes separades per les seves pròpies violacions, i poden enfrontar-se a reclamacions d'indemnització dels responsables segons el DPA.
P: El GDPR s'aplica als encarregats situats fora de la UE? Sí. El GDPR s'aplica als encarregats fora de la UE quan processen dades personals de residents de la UE en nom de responsables amb seu a la UE, o quan estan subjectes d'una altra manera a l'àmbit territorial del GDPR segons l'Article 3.
P: Quina és la diferència entre un DPA i una Clàusula Contractual Tipus? Un DPA regeix la relació responsable-encarregat a nivell nacional. Les Clàusules Contractuals Tipus (SCCs) són mecanismes contractuals específics per transferir dades personals a tercers països fora de la UE/EEE que no tenen una decisió d'adequació.
Conclusió
Responsable vs. Encarregat: Entendre la teva responsabilitat sota el GDPR no és un exercici legal abstracte, sinó que determina qui s'enfronta a multes reguladores, qui compensa els interessats i qui és responsable davant les autoritats de supervisió quan alguna cosa surt malament. La distinció es basa en una qüestió de fet sobre l'autoritat de presa de decisions, no en etiquetes contractuals.
Pròxims passos accionables:
- Realitza un exercici de mapeig de dades per identificar cada activitat de tractament i el rol de la teva organització en cadascuna.
- Audita els contractes de proveïdors existents per confirmar que hi ha DPAs conformes amb cada encarregat que contractes.
- Revisa els acords de subencarregats per assegurar que existeix una autorització prèvia i s'imposen obligacions equivalents.
- Si operes com a responsable i encarregat en diferents activitats, documenta cada rol per separat.
- Per a les organitzacions del Regne Unit, revisa les implicacions de la Data (Use and Access) Act 2026 amb assessorament legal qualificat.
- Desplega una solució de gestió del consentiment com Biscotti CMP per mantenir registres de consentiment auditables i donar suport a les teves obligacions de responsable.
La classificació errònia no és una tecnicitat, sinó una bretxa de compliment amb conseqüències financeres i reputacionals directes. Fer bé els rols des del principi és la inversió més rendible en GDPR que qualsevol organització pot fer.
Referències
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai