Resposta Rápida: Baixo o GDPR, un responsable do tratamento de datos determina por que e como se procesan os datos persoais, mentres que un encargado do tratamento xestiona os datos unicamente segundo as instrucións do responsable. A responsabilidade difire significativamente: os responsables asumen a responsabilidade máis ampla, mentres que os encargados enfróntanse a responsabilidade directa só cando actúan fóra das instrucións legais ou incumpren as obrigas do GDPR dirixidas especificamente a eles.
Puntos Clave
- Un responsable do tratamento de datos decide os fins e os medios do tratamento; un encargado do tratamento actúa en nome do responsable.
- Os responsables asumen a responsabilidade principal do GDPR; os encargados enfróntanse a responsabilidade directa baixo o Artigo 82 só en circunstancias específicas.
- Ambos roles poden coexistir simultaneamente dentro dunha organización; unha empresa pode ser responsable para os seus propios clientes e encargada para outro negocio.
- Un Acordo de Tratamento de Datos (DPA) legalmente vinculante é obrigatorio sempre que un responsable contrate un encargado.
- Os subencargados requiren autorización previa por escrito do responsable; o encargado principal segue sendo plenamente responsable da conduta do subencargado.
- A clasificación errónea do teu rol é un risco de cumprimento que pode expoñer á túa organización a sancións reguladoras.
- Os encargados que utilizan datos persoais para os seus propios fins convértense automaticamente en responsables para esa actividade de tratamento.
- A Lei de Datos (Uso e Acceso) do Reino Unido de 2026 introduce cambios adicionais que as organizacións que operan baixo o UK GDPR deberían revisar de inmediato.
Cal é a Diferenza entre un Responsable do Tratamento de Datos e un Encargado do Tratamento de Datos Baixo o GDPR?
Un responsable do tratamento de datos é calquera entidade que determina os fins e os medios do tratamento de datos persoais. Un encargado do tratamento de datos é calquera entidade que procesa datos persoais en nome dun responsable, seguindo estritamente as instrucións do responsable [1].
A distinción baséase na autoridade de toma de decisións. Se a túa organización decide por que se recollen os datos e como se utilizarán, es o responsable. Se a túa organización só xestiona datos porque outra entidade che instruíu a facelo, e non tes voz independente no propósito, es o encargado.
Exemplos prácticos:
| Escenario | Rol |
|---|---|
| Un minorista de comercio electrónico que recolle datos de compra de clientes | Responsable |
| Un provedor de aloxamento na nube que almacena a base de datos dese minorista | Encargado |
| Unha plataforma SaaS de nóminas que procesa datos de empregados para un empregador | Encargado |
| Unha axencia de marketing que constrúe a súa propia lista de prospectos | Responsable |
| Un provedor de CRM que accede a datos de clientes para proporcionar soporte | Encargado |
O ICO subliña que a etiqueta nun contrato non determina o rol, senón a conduta real [1]. Un provedor chamado "encargado" nun contrato pero que toma decisións independentes sobre o uso dos datos é legalmente un responsable, independentemente do que diga o acordo.
Cales son as Principais Responsabilidades dun Responsable do Tratamento de Datos Baixo o GDPR?
Os responsables asumen a carga de cumprimento máis pesada baixo o GDPR. Son responsables de todo o ciclo de vida dos datos e deben asegurarse de que calquera encargado que contraten cumpra os estándares do GDPR [3].
As obrigas principais do responsable inclúen:
- Establecer e documentar unha base legal para cada actividade de tratamento
- Proporcionar avisos de privacidade transparentes aos interesados
- Facilitar os dereitos dos interesados: acceso, rectificación, supresión, portabilidade e oposición
- Realizar Avaliacións de Impacto sobre a Protección de Datos (DPIA) para o tratamento de alto risco
- Nomear un Delegado de Protección de Datos (DPO) cando sexa necesario
- Realizar a debida dilixencia antes de contratar encargados e supervisar o seu cumprimento continuo
- Executar un Acordo de Tratamento de Datos por escrito con cada encargado contratado [3]
Os responsables non poden externalizar a responsabilidade. Mesmo cando un encargado causa unha violación, o responsable segue sendo responsable ante as autoridades de supervisión pola súa elección de encargado e a adecuación das salvagardas contractuais.
Cales son as Principais Responsabilidades dun Encargado do Tratamento de Datos Baixo o GDPR?
Os encargados teñen obrigas directas do GDPR, non só contractuais, e non poden tratar o cumprimento como un problema exclusivo do responsable [3].
As obrigas directas do encargado baixo o GDPR inclúen:
- Tratar datos só segundo as instrucións documentadas do responsable
- Implementar medidas de seguridade técnicas e organizativas adecuadas
- Manter rexistros de todas as actividades de tratamento realizadas en nome dos responsables
- Notificar ao responsable de calquera violación de datos sen demora indebida
- Axudar ao responsable no cumprimento das solicitudes de dereitos dos interesados
- Eliminar ou devolver todos os datos persoais ao finalizar o contrato
- Contratar subencargados só con autorización previa por escrito do responsable [3]
"Os encargados teñen obrigas directas baixo o GDPR, non só deberes contractuais, e enfróntanse a exposición reguladora se actúan fóra das instrucións legais do responsable."
Quen é Responsable se Hai unha Violación de Datos: o Responsable ou o Encargado?
Ambos poden ser responsables, pero o alcance difire. Baixo o Artigo 82 do GDPR, calquera persoa que sufra danos por unha infracción do GDPR ten dereito a reclamar unha indemnización ao responsable ou encargado responsable [2].
Os responsables son responsables dos danos causados por calquera tratamento que infrinxa o GDPR. Os encargados son responsables só cando non cumpriron as obrigas do GDPR dirixidas especificamente aos encargados, ou cando actuaron fóra ou en contra das instrucións legais do responsable [2].
Asignación de responsabilidade na práctica:
- Se un encargado sofre unha violación porque o responsable deu instrucións de seguridade inadecuadas, o responsable probablemente asume a responsabilidade principal.
- Se un encargado ignorou os requisitos de seguridade do responsable, o encargado asume a responsabilidade directa.
- Ambos poden ser considerados responsables solidariamente, o que significa que un interesado pode demandar a calquera das partes pola cantidade total dos danos, deixando que elas se repartan a responsabilidade entre si despois.
Un encargado pode escapar da responsabilidade demostrando que non tivo culpa no evento que causou o dano [2]. Este é un listón alto: o encargado debe demostrar o pleno cumprimento das súas obrigas do GDPR.
Pode unha Empresa Ser á Vez Responsable e Encargado ao Mesmo Tempo?
Si. Unha organización pode actuar simultaneamente como responsable para algunhas actividades de tratamento e como encargado para outras, mesmo dentro da mesma relación comercial [1].
Por exemplo, unha axencia de marketing dixital pode actuar como responsable cando xestiona os datos de RRHH dos seus propios empregados, e como encargado cando executa campañas publicitarias utilizando os datos de clientes dun cliente. O rol determínase actividade por actividade, non empresa por empresa.
Pode un Encargado Converterse en Responsable se Utiliza Datos para os Seus Propios Fins?
Un encargado convértese automaticamente en responsable no momento en que utiliza datos persoais para fins que van máis alá das instrucións do responsable [1]. Esta é unha das clasificacións erróneas máis importantes na práctica.
Se un provedor de análises na nube comeza a extraer datos de clientes para adestrar os seus propios modelos de IA sen autorización, saíu do rol de encargado e asumiu o estado de responsable para esa actividade, con todas as obrigas do GDPR e a exposición á responsabilidade que iso implica. Ningunha cláusula contractual pode evitar esta reclasificación; é unha cuestión de feito, non de acordo.
Como Protexen os Acordos de Tratamento de Datos aos Encargados da Responsabilidade?
Un Acordo de Tratamento de Datos (DPA) é un instrumento legal obrigatorio baixo o GDPR sempre que un responsable contrata un encargado [3]. Para os encargados, un DPA ben redactado é o principal mecanismo para limitar a exposición á responsabilidade.
Un DPA conforme debe especificar:
- O obxecto, duración, natureza e finalidade do tratamento
- O tipo de datos persoais e as categorías de interesados implicados
- As obrigas e dereitos do responsable
- Requisitos de confidencialidade para o persoal autorizado
- Medidas de seguridade a implementar
- Condicións para contratar subencargados
- Procedementos para devolver ou eliminar datos ao finalizar o contrato [3]
Cando un encargado actúa estritamente dentro do ámbito do DPA, a responsabilidade por calquera dano resultante recae predominantemente no responsable. Pola contra, se un encargado excede esas instrucións, o DPA convértese en proba da desviación en lugar dun escudo.
Que Ocorre se un Encargado Viola as Normas do GDPR?
Os encargados que violan o GDPR enfróntanse tanto a multas reguladoras como a responsabilidade civil por danos. As autoridades de supervisión poden impoñer multas administrativas directamente aos encargados, ata 20 millóns de euros ou o 4% da facturación anual global para as infraccións máis graves, o que sexa maior [2].
Ademais das multas, os encargados enfróntanse a reclamacións baixo o Artigo 82 dos interesados que sufriron danos. Tamén poden enfrontarse a responsabilidade contractual ante o responsable baixo o DPA, incluídas as obrigas de indemnización.
Necesitan os Encargados o seu Propio Delegado de Protección de Datos?
Os encargados están suxeitos aos mesmos limiares de nomeamento de DPO que os responsables. Un encargado debe nomear un DPO se leva a cabo un seguimento sistemático a gran escala de individuos, ou procesa categorías especiais de datos ou datos de condenas penais a gran escala [1].
Ser un encargado non exime a unha organización do requisito de DPO. Moitos grandes provedores de nube e plataformas SaaS que actúan como encargados están obrigados a manter un DPO precisamente debido ao volume e á sensibilidade dos datos que manexan.
Cal é a Diferenza nas Multas do GDPR entre Responsables e Encargados?
A estrutura de multas de dous niveis do GDPR aplícase por igual a responsables e encargados. O nivel un cobre infraccións menos graves (ata 10 millóns de euros ou o 2% da facturación global); o nivel dous cobre as violacións máis graves, incluído o tratamento ilícito e o incumprimento dos dereitos dos interesados (ata 20 millóns de euros ou o 4% da facturación global) [2].
Non hai un desconto legal para os encargados. Con todo, na práctica, as autoridades de supervisión avalían a culpabilidade, a cooperación e a natureza da infracción ao determinar os importes das multas, factores que poden resultar en diferentes resultados para responsables fronte a encargados no mesmo incidente.
Teñen os Subencargados unha Responsabilidade Diferente á dos Encargados Principais?
Os subencargados asumen as mesmas obrigas do GDPR que os encargados principais, pero están contractualmente vinculados ao encargado principal en lugar de directamente ao responsable. A distinción crítica: o encargado principal segue sendo plenamente responsable ante o responsable polo rendemento do subencargado [3].
Se un subencargado causa unha violación, o recurso legal do responsable diríxese contra o encargado principal. O encargado principal debe entón demandar ao subencargado por separado. Os subencargados tamén poden enfrontarse a accións reguladoras directas das autoridades de supervisión polas súas propias violacións do GDPR.
Normas dos subencargados dunha ollada:
- Requírese autorización previa por escrito do responsable antes de contratar calquera subencargado
- O encargado principal debe impoñer obrigas de protección de datos equivalentes ao subencargado
- O encargado principal non pode escapar da responsabilidade sinalando a culpa do subencargado
Como Determinas se Es un Responsable ou un Encargado para o teu Negocio?
A determinación xira en torno a unha única pregunta: a túa organización decide de forma independente por que se están procesando datos persoais? Se é así, es un responsable. Se só procesas datos porque outra entidade che instruíu a facelo, e non tes un propósito independente, es un encargado [1].
Unha lista de verificación de decisión práctica:
- Quen decidiu recoller estes datos en primeiro lugar?
- Quen determinou para que se utilizarían os datos?
- A túa organización ten discreción sobre como se procesan os datos, ou estás seguindo as especificacións doutra parte?
- Deteríase o tratamento se a outra parte retirase as súas instrucións?
- Estás utilizando os datos para algún propósito que beneficie á túa organización de forma independente?
Se as túas respostas apuntan en diferentes direccións nestas preguntas, podes ser un corresponsable, unha situación que require un acordo de transparencia separado coa outra parte [1].
Cales son os Erros Comúns que Cometen as Empresas cos Roles de Responsable e Encargado?
A clasificación errónea é o erro máis frecuente, e leva consigo consecuencias reais de cumprimento. As organizacións adoitan asumir que ser chamado "provedor" ou "prestador de servizos" nun contrato os converte nun encargado, cando a súa conduta real os cualifica como responsables.
Outros erros frecuentes:
- Omitir o DPA: Os responsables que contratan encargados sen un DPA por escrito están en incumprimento directo do GDPR, independentemente de cuán seguros sexan os sistemas do encargado.
- Non verificar os subencargados: Os responsables adoitan pasar por alto que o seu encargado contratou subencargados sen autorización ou proteccións contractuais equivalentes.
- Asumir que os encargados xestionan os dereitos dos interesados: Os responsables seguen sendo responsables de responder ás solicitudes dos interesados; os encargados só axudan.
- Ignorar o risco de reclasificación: Os encargados que expanden os seus servizos e comezan a utilizar datos de clientes para análises, adestramento de modelos ou benchmarking poden converterse inadvertidamente en responsables sen recoñecer o cambio.
Para as organizacións que xestionan o consentimento e os fluxos de datos en sitios web e propiedades dixitais, unha plataforma de xestión de consentimento como Biscotti CMP pode axudar aos responsables a documentar bases legais e xestionar rexistros de consentimento, un elemento fundamental da responsabilidade do responsable baixo o GDPR.
Como Debe Xestionar unha Pequena Empresa as Responsabilidades de Responsable vs. Encargado?
As pequenas empresas non están exentas do marco de responsable-encargado do GDPR. Se unha pequena empresa recolle datos de clientes, mesmo só enderezos de correo electrónico para un boletín, é un responsable e debe cumprir todas as obrigas do responsable.
Pasos prácticos para pequenas empresas:
- Mapea cada ferramenta ou provedor que xestiona datos persoais no teu nome (plataformas de correo electrónico, ferramentas de análise, procesadores de pagos, CRMs).
- Confirma se existe un DPA asinado con cada provedor.
- Verifica que o DPA de cada provedor cumpre os requisitos mínimos do GDPR.
- Publica un aviso de privacidade conforme que describa con precisión as túas actividades de tratamento.
- Establece un proceso para responder ás solicitudes dos interesados dentro do prazo legal de 30 días.
A Lei de Datos (Uso e Acceso) do Reino Unido de 2026, que recibiu a Sanción Real o 19 de xuño de 2026, introduce modificacións adicionais á lei de protección de datos que as pequenas empresas con sede no Reino Unido deberían revisar con asesoramento legal para garantir que as súas obrigas de responsable seguen vixentes [1].
Preguntas Frecuentes
P: Unha empresa SaaS é sempre un encargado? Unha empresa SaaS é un encargado só cando procesa datos persoais estritamente en nome dos seus clientes e sen ningún propósito independente. Se utiliza datos de clientes para as súas propias análises, mellora de produtos ou marketing, convértese nun responsable para esas actividades.
P: Necesita un encargado rexistrarse ante unha autoridade de supervisión? Os requisitos de rexistro varían segundo o estado membro da UE. Con todo, os encargados deben manter Rexistros de Actividades de Tratamento (RoPA) internos baixo o Artigo 30 do GDPR se empregan 250 ou máis persoas, ou se o tratamento é probable que resulte nun risco para os interesados.
P: Pode un encargado rexeitar unha instrución dun responsable? Si, se seguir a instrución requiriría que o encargado violase o GDPR. Nese caso, o encargado debe notificar ao responsable e, se a instrución non se corrixe, pode que teña que rescindir a relación.
P: Que é un acordo de corresponsabilidade? Os corresponsables existen cando dúas ou máis entidades determinan conxuntamente os fins e os medios do tratamento. Deben documentar as súas respectivas responsabilidades nun acordo transparente e poñer a esencia dese acordo a disposición dos interesados [1].
P: Canto tempo debe permanecer en vigor un DPA? Un DPA debe permanecer en vigor durante a duración da relación de tratamento. Ao finalizar, rexe a obriga do encargado de eliminar ou devolver todos os datos persoais.
P: Son os encargados responsables das multas impostas aos responsables? Non. As multas avalíanse contra a entidade que cometeu a infracción. Con todo, os encargados poden enfrontarse a multas separadas polas súas propias violacións, e poden enfrontarse a reclamacións de indemnización dos responsables baixo o DPA.
P: Aplícase o GDPR aos encargados situados fóra da UE? Si. O GDPR aplícase aos encargados fóra da UE cando procesan datos persoais de residentes da UE en nome de responsables con sede na UE, ou cando están suxeitos doutro xeito ao ámbito territorial do GDPR baixo o Artigo 3.
P: Cal é a diferenza entre un DPA e unha Cláusula Contractual Tipo? Un DPA rexe a relación responsable-encargado a nivel nacional. As Cláusulas Contractuais Tipo (SCCs) son mecanismos contractuais específicos para transferir datos persoais a terceiros países fóra da UE/EEE que carecen dunha decisión de adecuación.
Conclusión
Responsable vs. Encargado do Tratamento: Entender a Súa Responsabilidade Baixo o GDPR non é un exercicio legal abstracto, determina quen se enfronta a multas reguladoras, quen compensa aos interesados e quen é responsable ante as autoridades de supervisión cando algo sae mal. A distinción baséase nunha cuestión de feito sobre a autoridade de toma de decisións, non en etiquetas contractuais.
Próximos pasos accionables:
- Realiza un exercicio de mapeo de datos para identificar cada actividade de tratamento e o rol da túa organización en cada unha.
- Audita os contratos de provedores existentes para confirmar que existen DPAs conformes con cada encargado que contrates.
- Revisa os acordos de subencargados para garantir que existe autorización previa e que se impoñen obrigas equivalentes.
- Se operas como responsable e encargado en diferentes actividades, documenta cada rol por separado.
- Para as organizacións do Reino Unido, revisa as implicacións da Lei de Datos (Uso e Acceso) de 2026 con asesoramento legal cualificado.
- Desprega unha solución de xestión de consentimento como Biscotti CMP para manter rexistros de consentimento auditables e apoiar as túas obrigas de responsable.
A clasificación errónea non é unha tecnicalidade, é unha fenda de cumprimento con consecuencias financeiras e de reputación directas. Acertar os roles desde o principio é o investimento en GDPR máis rendible que calquera organización pode facer.
Referencias
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai