Respuesta rápida: Bajo el GDPR, un responsable del tratamiento de datos determina por qué y cómo se procesan los datos personales, mientras que un encargado del tratamiento maneja los datos únicamente siguiendo las instrucciones del responsable. La responsabilidad difiere significativamente: los responsables asumen la mayor rendición de cuentas, mientras que los encargados enfrentan responsabilidad directa solo cuando actúan fuera de las instrucciones legales o incumplen obligaciones del GDPR dirigidas específicamente a ellos.
Puntos clave
- Un responsable del tratamiento decide los fines y los medios del procesamiento; un encargado del tratamiento actúa en nombre del responsable.
- Los responsables asumen la responsabilidad principal del GDPR; los encargados enfrentan responsabilidad directa bajo el Artículo 82 solo en circunstancias específicas.
- Ambos roles pueden coexistir dentro de una misma organización; una empresa puede ser responsable del tratamiento para sus propios clientes y encargado del tratamiento para otro negocio.
- Un Acuerdo de Procesamiento de Datos (DPA) legalmente vinculante es obligatorio siempre que un responsable contrate a un encargado.
- Los subencargados requieren autorización previa por escrito del responsable; el encargado principal sigue siendo totalmente responsable de la conducta del subencargado.
- Clasificar erróneamente su rol es un riesgo de cumplimiento que puede exponer a su organización a sanciones regulatorias.
- Los encargados que utilizan datos personales para sus propios fines se convierten automáticamente en responsables del tratamiento para esa actividad de procesamiento.
- La Ley de Datos (Uso y Acceso) del Reino Unido de 2026 introduce cambios adicionales que las organizaciones que operan bajo el UK GDPR deben revisar rápidamente.
¿Cuál es la diferencia entre un responsable del tratamiento de datos y un encargado del tratamiento de datos bajo el GDPR?
Un responsable del tratamiento de datos es cualquier entidad que determina los fines y los medios del procesamiento de datos personales. Un encargado del tratamiento de datos es cualquier entidad que procesa datos personales en nombre de un responsable, siguiendo estrictamente las instrucciones del responsable [1].
La distinción se basa en la autoridad para tomar decisiones. Si su organización decide por qué se recopilan los datos y cómo se utilizarán, usted es el responsable. Si su organización solo maneja datos porque otra entidad le ha instruido a hacerlo, y usted no tiene voz independiente en el propósito, usted es el encargado.
Ejemplos prácticos:
| Escenario | Rol |
|---|---|
| Un minorista de comercio electrónico que recopila datos de compra de clientes | Responsable del tratamiento |
| Un proveedor de alojamiento en la nube que almacena la base de datos de ese minorista | Encargado del tratamiento |
| Una plataforma SaaS de nóminas que procesa datos de empleados para un empleador | Encargado del tratamiento |
| Una agencia de marketing que construye su propia lista de prospectos | Responsable del tratamiento |
| Un proveedor de CRM que accede a los datos del cliente para brindar soporte | Encargado del tratamiento |
La ICO enfatiza que la etiqueta en un contrato no determina el rol, sino la conducta real [1]. Un proveedor llamado "encargado" en un contrato pero que toma decisiones independientes sobre el uso de datos es legalmente un responsable del tratamiento, independientemente de lo que diga el acuerdo.
¿Cuáles son las principales responsabilidades de un responsable del tratamiento de datos bajo el GDPR?
Los responsables del tratamiento asumen la carga de cumplimiento más pesada bajo el GDPR. Son responsables de todo el ciclo de vida de los datos y deben asegurarse de que cualquier encargado que contraten cumpla con los estándares del GDPR [3].
Las obligaciones principales del responsable incluyen:
- Establecer y documentar una base legal para cada actividad de procesamiento
- Proporcionar avisos de privacidad transparentes a los interesados
- Facilitar los derechos de los interesados: acceso, rectificación, supresión, portabilidad y oposición
- Realizar Evaluaciones de Impacto de Protección de Datos (DPIA) para el procesamiento de alto riesgo
- Nombrar un Delegado de Protección de Datos (DPO) cuando sea necesario
- Realizar la debida diligencia antes de contratar encargados y monitorear su cumplimiento continuo
- Ejecutar un Acuerdo de Procesamiento de Datos por escrito con cada encargado contratado [3]
Los responsables no pueden externalizar la rendición de cuentas. Incluso cuando un encargado causa una brecha, el responsable sigue siendo responsable ante las autoridades de supervisión por su elección de encargado y la adecuación de las salvaguardias contractuales.
¿Cuáles son las principales responsabilidades de un encargado del tratamiento de datos bajo el GDPR?
Los encargados tienen obligaciones directas bajo el GDPR, no solo contractuales, y no pueden tratar el cumplimiento como un problema exclusivo del responsable [3].
Las obligaciones directas del encargado bajo el GDPR incluyen:
- Procesar datos solo siguiendo las instrucciones documentadas del responsable
- Implementar medidas de seguridad técnicas y organizativas adecuadas
- Mantener registros de todas las actividades de procesamiento realizadas en nombre de los responsables
- Notificar al responsable de cualquier violación de datos sin demora indebida
- Asistir al responsable en el cumplimiento de las solicitudes de derechos de los interesados
- Eliminar o devolver todos los datos personales al finalizar el contrato
- Contratar subencargados solo con autorización previa por escrito del responsable [3]
"Los encargados tienen obligaciones directas bajo el GDPR, no solo deberes contractuales, y enfrentan exposición regulatoria si actúan fuera de las instrucciones legales del responsable."
¿Quién es responsable si hay una violación de datos: el responsable o el encargado?
Ambos pueden ser responsables, pero el alcance difiere. Según el Artículo 82 del GDPR, cualquier persona que sufra daños por una infracción del GDPR tiene derecho a reclamar una indemnización al responsable o encargado del tratamiento responsable [2].
Los responsables son responsables de los daños causados por cualquier procesamiento que infrinja el GDPR. Los encargados son responsables solo cuando no han cumplido con las obligaciones del GDPR dirigidas específicamente a los encargados, o cuando actuaron fuera o en contra de las instrucciones legales del responsable [2].
Asignación de responsabilidad en la práctica:
- Si un encargado sufre una brecha porque el responsable dio instrucciones de seguridad inadecuadas, es probable que el responsable asuma la responsabilidad principal.
- Si un encargado ignoró los requisitos de seguridad del responsable, el encargado asume la responsabilidad directa.
- Ambos pueden ser considerados conjunta y solidariamente responsables, lo que significa que un interesado puede demandar a cualquiera de las partes por el monto total de los daños, dejándolos a ellos la tarea de repartir la responsabilidad entre sí posteriormente.
Un encargado puede escapar de la responsabilidad demostrando que no tuvo culpa en el evento que causó el daño [2]. Esto es un listón alto: el encargado debe demostrar el pleno cumplimiento de sus obligaciones del GDPR.
¿Puede una empresa ser tanto responsable como encargado del tratamiento al mismo tiempo?
Sí. Una organización puede actuar simultáneamente como responsable del tratamiento para algunas actividades de procesamiento y como encargado del tratamiento para otras, incluso dentro de la misma relación comercial [1].
Por ejemplo, una agencia de marketing digital puede actuar como responsable del tratamiento cuando gestiona los datos de RRHH de sus propios empleados, y como encargado del tratamiento cuando ejecuta campañas publicitarias utilizando los datos de clientes de un cliente. El rol se determina actividad por actividad, no empresa por empresa.
¿Puede un encargado del tratamiento convertirse en responsable del tratamiento si utiliza los datos para sus propios fines?
Un encargado del tratamiento se convierte automáticamente en responsable del tratamiento en el momento en que utiliza datos personales para fines que van más allá de las instrucciones del responsable [1]. Esta es una de las clasificaciones erróneas más importantes en la práctica.
Si un proveedor de análisis en la nube comienza a extraer datos de clientes para entrenar sus propios modelos de IA sin autorización, ha salido del rol de encargado y ha asumido el estado de responsable del tratamiento para esa actividad, con todas las obligaciones del GDPR y la exposición a la responsabilidad que ello conlleva. Ninguna cláusula contractual puede evitar esta reclasificación; es una cuestión de hecho, no de acuerdo.
¿Cómo protegen los Acuerdos de Procesamiento de Datos a los encargados del tratamiento de la responsabilidad?
Un Acuerdo de Procesamiento de Datos (DPA) es un instrumento legal obligatorio bajo el GDPR siempre que un responsable contrate a un encargado [3]. Para los encargados, un DPA bien redactado es el mecanismo principal para limitar la exposición a la responsabilidad.
Un DPA conforme debe especificar:
- El objeto, la duración, la naturaleza y el propósito del procesamiento
- El tipo de datos personales y las categorías de interesados involucrados
- Las obligaciones y derechos del responsable
- Requisitos de confidencialidad para el personal autorizado
- Medidas de seguridad a implementar
- Condiciones para la contratación de subencargados
- Procedimientos para devolver o eliminar datos al finalizar el contrato [3]
Cuando un encargado actúa estrictamente dentro del alcance del DPA, la responsabilidad por cualquier daño resultante recae predominantemente en el responsable. Por el contrario, si un encargado excede esas instrucciones, el DPA se convierte en evidencia de la desviación en lugar de un escudo.
¿Qué sucede si un encargado del tratamiento viola las normas del GDPR?
Los encargados que violan el GDPR enfrentan multas regulatorias y responsabilidad civil por daños. Las autoridades de supervisión pueden imponer multas administrativas directamente a los encargados, hasta 20 millones de euros o el 4% de la facturación anual global para las infracciones más graves, lo que sea mayor [2].
Más allá de las multas, los encargados enfrentan reclamaciones bajo el Artículo 82 de los interesados que sufrieron daños. También pueden enfrentar responsabilidad contractual ante el responsable bajo el DPA, incluidas las obligaciones de indemnización.
¿Necesitan los encargados del tratamiento su propio Delegado de Protección de Datos?
Los encargados están sujetos a los mismos umbrales de nombramiento de DPO que los responsables. Un encargado debe nombrar un DPO si lleva a cabo un seguimiento sistemático a gran escala de individuos, o procesa categorías especiales de datos o datos de condenas penales a gran escala [1].
Ser un encargado no exime a una organización del requisito de DPO. Muchos grandes proveedores de la nube y plataformas SaaS que actúan como encargados están obligados a mantener un DPO precisamente debido al volumen y la sensibilidad de los datos que manejan.
¿Cuál es la diferencia en las multas del GDPR entre responsables y encargados del tratamiento?
La estructura de multas de dos niveles del GDPR se aplica por igual a responsables y encargados. El nivel uno cubre infracciones menos graves (hasta 10 millones de euros o el 2% de la facturación global); el nivel dos cubre las violaciones más graves, incluido el procesamiento ilegal y el incumplimiento de los derechos de los interesados (hasta 20 millones de euros o el 4% de la facturación global) [2].
No hay un descuento legal para los encargados. Sin embargo, en la práctica, las autoridades de supervisión evalúan la culpabilidad, la cooperación y la naturaleza de la infracción al determinar los montos de las multas, factores que pueden resultar en diferentes resultados para los responsables frente a los encargados en el mismo incidente.
¿Tienen los subencargados una responsabilidad diferente a la de los encargados principales?
Los subencargados tienen las mismas obligaciones del GDPR que los encargados principales, pero están contractualmente vinculados al encargado principal en lugar de directamente al responsable. La distinción crítica: el encargado principal sigue siendo totalmente responsable ante el responsable por el desempeño del subencargado [3].
Si un subencargado causa una brecha, el recurso legal del responsable se dirige contra el encargado principal. El encargado principal debe entonces demandar al subencargado por separado. Los subencargados también pueden enfrentar acciones regulatorias directas de las autoridades de supervisión por sus propias violaciones del GDPR.
Reglas de los subencargados de un vistazo:
- Se requiere autorización previa por escrito del responsable antes de contratar a cualquier subencargado
- El encargado principal debe imponer obligaciones de protección de datos equivalentes al subencargado
- El encargado principal no puede escapar de la responsabilidad señalando la culpa del subencargado
¿Cómo determina si usted es un responsable o un encargado del tratamiento para su negocio?
La determinación se basa en una única pregunta: ¿su organización decide de forma independiente por qué se procesan los datos personales? Si la respuesta es sí, usted es un responsable. Si solo procesa datos porque otra entidad le ha instruido a hacerlo, y no tiene un propósito independiente, usted es un encargado [1].
Una lista de verificación de decisiones práctica:
- ¿Quién decidió recopilar estos datos en primer lugar?
- ¿Quién determinó para qué se utilizarían los datos?
- ¿Su organización tiene discreción sobre cómo se procesan los datos, o está siguiendo las especificaciones de otra parte?
- ¿Se detendría el procesamiento si la otra parte retirara sus instrucciones?
- ¿Está utilizando los datos para algún propósito que beneficie a su organización de forma independiente?
Si sus respuestas apuntan en diferentes direcciones en estas preguntas, puede ser un corresponsable, una situación que requiere un acuerdo de transparencia separado con la otra parte [1].
¿Cuáles son los errores comunes que cometen las empresas con los roles de responsable y encargado del tratamiento?
La clasificación errónea es el error más frecuente y conlleva consecuencias reales de cumplimiento. Las organizaciones a menudo asumen que ser llamadas "proveedor" o "prestador de servicios" en un contrato las convierte en encargados, cuando su conducta real las califica como responsables.
Otros errores frecuentes:
- Omitir el DPA: Los responsables que contratan encargados sin un DPA por escrito están en incumplimiento directo del GDPR, independientemente de lo seguros que sean los sistemas del encargado.
- No verificar a los subencargados: Los responsables a menudo pasan por alto que su encargado ha contratado subencargados sin autorización o protecciones contractuales equivalentes.
- Asumir que los encargados manejan los derechos de los interesados: Los responsables siguen siendo responsables de responder a las solicitudes de los interesados; los encargados solo asisten.
- Ignorar el riesgo de reclasificación: Los encargados que expanden sus servicios y comienzan a usar datos de clientes para análisis, entrenamiento de modelos o benchmarking pueden convertirse inadvertidamente en responsables sin reconocer el cambio.
Para las organizaciones que gestionan el consentimiento y los flujos de datos en sitios web y propiedades digitales, una plataforma de gestión de consentimiento como Biscotti CMP puede ayudar a los responsables a documentar bases legales y gestionar registros de consentimiento, un elemento fundamental de la rendición de cuentas del responsable bajo el GDPR.
¿Cómo debe manejar una pequeña empresa las responsabilidades de responsable vs. encargado del tratamiento?
Las pequeñas empresas no están exentas del marco de responsable-encargado del GDPR. Si una pequeña empresa recopila datos de clientes, incluso solo direcciones de correo electrónico para un boletín, es un responsable y debe cumplir con todas las obligaciones del responsable.
Pasos prácticos para pequeñas empresas:
- Mapee cada herramienta o proveedor que maneje datos personales en su nombre (plataformas de correo electrónico, herramientas de análisis, procesadores de pagos, CRMs).
- Confirme si existe un DPA firmado con cada proveedor.
- Verifique que el DPA de cada proveedor cumpla con los requisitos mínimos del GDPR.
- Publique un aviso de privacidad conforme que describa con precisión sus actividades de procesamiento.
- Establezca un proceso para responder a las solicitudes de los interesados dentro del plazo legal de 30 días.
La Ley de Datos (Uso y Acceso) del Reino Unido de 2026, que recibió la aprobación real el 19 de junio de 2026, introduce modificaciones adicionales a la ley de protección de datos que las pequeñas empresas con sede en el Reino Unido deben revisar con asesoramiento legal para garantizar que sus obligaciones como responsables sigan siendo actuales [1].
Preguntas Frecuentes
P: ¿Una empresa SaaS es siempre un encargado del tratamiento? Una empresa SaaS es un encargado del tratamiento solo cuando procesa datos personales estrictamente en nombre de sus clientes y sin ningún propósito independiente. Si utiliza datos de clientes para sus propios análisis, mejora de productos o marketing, se convierte en un responsable del tratamiento para esas actividades.
P: ¿Un encargado del tratamiento necesita registrarse ante una autoridad de supervisión? Los requisitos de registro varían según el estado miembro de la UE. Sin embargo, los encargados deben mantener Registros de Actividades de Procesamiento (RoPA) internos según el Artículo 30 del GDPR si emplean a 250 o más personas, o si el procesamiento es probable que resulte en un riesgo para los interesados.
P: ¿Puede un encargado del tratamiento rechazar una instrucción del responsable? Sí, si seguir la instrucción requeriría que el encargado violara el GDPR. En tales casos, el encargado debe notificar al responsable y, si la instrucción no se corrige, es posible que deba rescindir la relación.
P: ¿Qué es un acuerdo de corresponsabilidad? Los corresponsables existen cuando dos o más entidades determinan conjuntamente los fines y los medios del procesamiento. Deben documentar sus respectivas responsabilidades en un acuerdo transparente y poner la esencia de ese acuerdo a disposición de los interesados [1].
P: ¿Cuánto tiempo debe permanecer en vigor un DPA? Un DPA debe permanecer en vigor durante la duración de la relación de procesamiento. Al finalizar, rige la obligación del encargado de eliminar o devolver todos los datos personales.
P: ¿Son los encargados del tratamiento responsables de las multas impuestas a los responsables? No. Las multas se evalúan contra la entidad que cometió la infracción. Sin embargo, los encargados pueden enfrentar multas separadas por sus propias violaciones, y pueden enfrentar reclamaciones de indemnización de los responsables bajo el DPA.
P: ¿El GDPR se aplica a los encargados del tratamiento ubicados fuera de la UE? Sí. El GDPR se aplica a los encargados del tratamiento fuera de la UE cuando procesan datos personales de residentes de la UE en nombre de responsables con sede en la UE, o cuando están sujetos de otra manera al ámbito territorial del GDPR según el Artículo 3.
P: ¿Cuál es la diferencia entre un DPA y una Cláusula Contractual Tipo? Un DPA rige la relación responsable-encargado a nivel nacional. Las Cláusulas Contractuales Tipo (SCC) son mecanismos contractuales específicos para transferir datos personales a terceros países fuera de la UE/EEE que carecen de una decisión de adecuación.
Conclusión
Responsable del tratamiento vs. Encargado del tratamiento: Entender su responsabilidad bajo el GDPR no es un ejercicio legal abstracto, determina quién enfrenta multas regulatorias, quién compensa a los interesados y quién es responsable ante las autoridades de supervisión cuando algo sale mal. La distinción se basa en una cuestión de hecho sobre la autoridad para tomar decisiones, no en etiquetas contractuales.
Próximos pasos accionables:
- Realice un ejercicio de mapeo de datos para identificar cada actividad de procesamiento y el rol de su organización en cada una.
- Audite los contratos de proveedores existentes para confirmar que existen DPAs conformes con cada encargado que contrate.
- Revise los acuerdos de subencargados para asegurarse de que existe una autorización previa y se imponen obligaciones equivalentes.
- Si opera como responsable y encargado en diferentes actividades, documente cada rol por separado.
- Para las organizaciones del Reino Unido, revise las implicaciones de la Ley de Datos (Uso y Acceso) de 2026 con asesoramiento legal cualificado.
- Implemente una solución de gestión de consentimiento como Biscotti CMP para mantener registros de consentimiento auditables y respaldar sus obligaciones como responsable.
La clasificación errónea no es una tecnicidad, es una brecha de cumplimiento con consecuencias financieras y reputacionales directas. Acertar con los roles desde el principio es la inversión más rentable en GDPR que cualquier organización puede hacer.
Referencias
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai