Responsable y encargado: quién responde por los datos en una cadena de contratos
La nueva ley de protección de datos personales distingue al responsable, que decide para qué y cómo se tratan los datos, del encargado, que los trata por cuenta del responsable. El encargado actúa según las instrucciones, bajo un contrato, y si se excede se le trata como responsable. El rol de cada empresa depende de lo que decide.
En breve
- Es responsable quien decide los fines y los medios del tratamiento; es encargado quien trata los datos por cuenta de otro.por validar
- El encargado necesita un contrato y solo puede actuar según las instrucciones del responsable.por validar
- El encargado no puede subdelegar sin autorización específica y escrita, y debe reportar al responsable las vulneraciones de seguridad.por validar
- Al terminar el servicio, el encargado suprime o devuelve los datos; si se excede del encargo, se le trata como responsable.por validar
- Quién es quién en tu cadena depende de los contratos: es un punto para tu asesor legal.por validar
Quién es el responsable
Responsable es la persona natural o jurídica, pública o privada, que decide acerca de los fines y los medios del tratamiento de datos personales. Lo es aunque el tratamiento lo haga directamente o mediante un tercero.por validar
Qué significa en tu operación
- Identifica, para cada tratamiento, quién decide para qué se recogen los datos y con qué medios. Esa empresa es candidata a responsable.por validar
- No asumas el rol por el nombre del contrato: mira quién decide los fines y los medios en la práctica.por validar
Quién es el encargado
Encargado es la persona natural o jurídica que trata datos personales por cuenta del responsable. La ley también lo llama tercero mandatario. Trata los datos según el encargo y las instrucciones del responsable.por validar
El encargado tiene prohibido tratar los datos para un objeto distinto del convenido con el responsable.por validar
Qué significa en tu operación
- Si eres proveedor de tecnología, revisa si tratas datos solo para entregar el servicio que te contrataron y según instrucciones, o si decides por tu cuenta para qué usarlos.por validar
- Si contratas a un proveedor, confirma por escrito que no usará los datos para fines propios.por validar
La cadena mandante, concesionario y proveedor
En una operación de alimentación suele haber tres capas: la empresa mandante que contrata el servicio para sus trabajadores, el concesionario que lo opera y el proveedor de tecnología que provee los equipos y la plataforma. El cuadro es solo una ilustración de quién es probablemente qué.por validar
El rol de cada una no lo fija el nombre de su actividad, sino lo que decide sobre los fines y los medios del tratamiento y lo que dice el contrato. Por eso el cuadro siempre termina en la misma respuesta: depende del contrato.por validar
Qué significa en tu operación
- Dibuja la cadena de tu operación y marca, por cada dato, quién decide los fines y quién solo ejecuta.por validar
- Compara ese dibujo con los contratos firmados: si no coinciden, corrige el contrato o la práctica antes de empezar.por validar
- Pide a tu asesor legal que confirme la asignación de roles para cada modelo de contrato.por validar
| Empresa | Qué suele hacerpor validar | Rol probablepor validar | De qué dependepor validar |
|---|---|---|---|
| Empresa mandantepor validar | Contrata el servicio para sus trabajadores y define para qué y con qué sistema se identifican. | Puede ser responsable. | De si decide los fines y los medios o los delega por completo. |
| Concesionariopor validar | Opera el servicio en el recinto, con equipos y plataforma de un proveedor. | Responsable o encargado. | De si decide por su cuenta o sigue las instrucciones de la mandante. |
| Proveedor de tecnologíapor validar | Provee los equipos y la plataforma con que se tratan los datos. | Puede ser encargado. [por validar según el contrato] | De si trata los datos solo por cuenta de quien lo contrata o decide fines propios. |
Qué debe hacer el encargado
El encargado debe actuar solo según las instrucciones del responsable y no puede usar los datos para otro objeto ni cederlos sin autorización expresa y específica.por validar
No puede subdelegar el tratamiento sin autorización específica y escrita del responsable.por validar
Debe respetar el deber de secreto y las medidas de seguridad que la ley impone al responsable.por validar
Si hay una vulneración a las medidas de seguridad, debe reportarla al responsable.por validar
Terminado el servicio, los datos que obran en su poder deben suprimirse o devolverse al responsable, según corresponda.por validar
Qué significa en tu operación
- Si eres responsable, exige estos cinco puntos por escrito a cada proveedor que trate datos por tu cuenta.por validar
- Si eres encargado, asegúrate de poder demostrar cada uno: un deber que no puedes evidenciar es un riesgo.por validar
| Deber | Qué pedir al encargadopor validar |
|---|---|
| Solo instruccionespor validar | Que el contrato diga que trata los datos únicamente según las instrucciones del responsable. |
| Sin otro uso ni cesiónpor validar | Que se comprometa a no usar los datos para fines propios ni cederlos sin autorización expresa y específica. |
| Sin subdelegarpor validar | Que liste sus subcontratistas y no sume otro sin autorización específica y escrita. |
| Reporte de vulneracionespor validar | Que avise al responsable de cualquier vulneración de seguridad, con un procedimiento descrito. |
| Supresión o devoluciónpor validar | Que, al terminar el servicio, suprima o devuelva los datos y lo acredite. |
El contrato del encargo
El encargo se rige por un contrato que fija su objeto, su duración, su finalidad, el tipo de datos, las categorías de personas titulares y los derechos y obligaciones de las partes.por validar
Qué significa en tu operación
- Revisa que cada contrato con un proveedor diga los seis puntos: objeto, duración, finalidad, tipo de datos, categorías de personas y obligaciones de ambas partes.por validar
- Si un contrato antiguo no los dice, agrégalos por escrito antes de que la ley se aplique a tu operación.por validar
Si el encargado se excede del encargo
Si el encargado trata los datos para un fin distinto del convenido o los cede sin la autorización necesaria, se le considera responsable. En ese caso responde personal y solidariamente por los daños.por validar
Qué significa en tu operación
- Como responsable, vigila que tu proveedor se mantenga dentro del encargo: lo que haga fuera de él puede alcanzar a ambos.por validar
- Como encargado, no aceptes pedidos de uso de los datos que no estén en el contrato.por validar
Seguridad y vulneraciones: lo que debe hacer el responsable
El responsable debe garantizar estándares adecuados de seguridad contra el tratamiento no autorizado o ilícito, la pérdida, la filtración, el daño o la destrucción. Si hay una controversia, debe acreditar que sus medidas existen y funcionan.por validar
Ante una vulneración de seguridad, el responsable debe reportarla a la Agencia de Protección de Datos Personales por los medios más expeditos posibles y sin dilaciones indebidas, cuando exista un riesgo razonable para las personas, y debe registrarla. Si la vulneración afecta datos sensibles, debe comunicarla también a las personas titulares.por validar
Qué significa en tu operación
- Acuerda con tu proveedor cuánto tarda en avisarte y por qué canal: tu reporte a la Agencia depende de que él te avise a tiempo.por validar
- Lleva un registro de incidentes y de las medidas de seguridad que aplicas, para poder acreditarlas.por validar
Punto abierto para tu asesor legal
La ley define los dos roles, pero la asignación concreta de roles en cada contrato de una cadena no se deduce del texto: depende de lo que cada empresa decide y de lo que firmó.por validar
Equivocarse de rol tiene consecuencias: un encargado que se excede del encargo responde como responsable. Las sanciones y sus cuantías las fija la ley y se confirman con el texto oficial.por validar
Qué significa en tu operación
- Pide a tu asesor legal una asignación de roles por escrito para cada modelo de contrato que uses.por validar
- Guárdala junto con los contratos y revísala cuando cambie la cadena.por validar
Cómo responde BiometryPass
- [por validar] Qué rol tiene BiometryPass en cada modelo de contrato: directo con la mandante, vía concesionario o vía subcontratista, y si hay una cláusula firmada de tratamiento de datos.por validar
- [por validar] Qué ocurre con los datos al terminar un contrato o cuando un trabajador deja de usar el servicio: si se suprimen, se devuelven o ambos, quién lo ejecuta y cómo se acredita.por validar
- [por validar] Si existe un procedimiento escrito para detectar, avisar al cliente y documentar una vulneración de seguridad, y en cuánto tiempo se avisa.por validar
- [por validar] La lista de empresas que participan del servicio, como alojamiento, mensajería o soporte, y la cláusula que las autoriza.por validar
Tecnologías relacionadas
Preguntas frecuentes
¿Cuál es la diferencia entre responsable y encargado?por validar
El responsable decide los fines y los medios del tratamiento; el encargado trata los datos por cuenta del responsable, según su encargo y sus instrucciones.
¿Puede un proveedor usar los datos para sus propios fines?por validar
No, si es encargado: tiene prohibido usarlos para un objeto distinto del convenido y no puede cederlos sin autorización expresa y específica. Si lo hace, se le considera responsable y responde por los daños.
¿Puede el encargado contratar a otra empresa para parte del servicio?por validar
No sin autorización específica y escrita del responsable.
¿Qué pasa con los datos cuando termina el contrato?por validar
El encargado debe suprimirlos o devolverlos al responsable, según corresponda.
¿Es responsable la empresa mandante o el concesionario?por validar
Depende del contrato y de quién decide los fines y los medios. El cuadro de esta guía es solo una ilustración: la asignación de roles de tu cadena es un punto para tu asesor legal.
¿Qué rol tiene BiometryPass?por validar
[por validar] El rol de BiometryPass en cada modelo de contrato. Mientras no se confirme con documentos, esta guía no afirma ningún rol.
Fuentes
- Texto oficial de la nueva ley de protección de datos personales, que se publica en el Diario Oficial (fecha y enlace por confirmar). Se confirman antes de indexar esta página.por validar
- Los modelos de contrato y las instrucciones generales de la Agencia de Protección de Datos Personales no están en las fuentes consultadas: se confirman cuando se publiquen.por validar
Aviso
Este contenido es informativo: resume la nueva ley y describe cómo trabaja BiometryPass en lenguaje claro. No constituye asesoría legal, auditoría ni certificación, y no reemplaza la revisión de un abogado sobre tu caso.por validar