Encargado del tratamiento

El encargado del tratamiento es, según el artículo 4.8 del RGPD, la persona física o jurídica que trata datos personales por cuenta del responsable, siguiendo sus instrucciones y sin decidir los fines del tratamiento. Es una figura subordinada: recibe los datos, los procesa para el fin fijado por el responsable del tratamiento y se sujeta a las obligaciones del contrato de encargo previsto en el art. 28.

Cómo funciona

La relación entre responsable y encargado se formaliza mediante contrato u otro acto jurídico vinculante por escrito que identifique objeto, duración, finalidad, tipo de datos, categorías de interesados y obligaciones mutuas. El art. 28 RGPD enumera como cláusulas obligatorias la confidencialidad, las medidas de seguridad adecuadas, el régimen de subcontratación, la asistencia al responsable en el ejercicio de derechos por los afectados y la devolución o destrucción de los datos al finalizar el encargo.

El encargado no puede subcontratar parte del tratamiento sin autorización previa del responsable, que debe ser específica o general con derecho de oposición. Si el encargado incumple las instrucciones o excede el objeto del encargo, se convierte en responsable frente al afectado y frente a la AEPD.

Diferencias con el responsable del tratamiento

La distinción operativa más relevante es la decisión: el responsable decide el "qué" y el "cómo"; el encargado solo ejecuta. Un banco es responsable cuando trata datos de clientes para su gestión contractual; una empresa externa de digitalización de expedientes contratada por el banco es encargada. Los derechos del afectado se ejercen frente al responsable; si se dirigen por error al encargado, este debe reenviarlos. Ambos pueden ser sancionados por la AEPD, pero con criterios distintos: al responsable se le exige diligencia en la elección y supervisión del encargado; al encargado, cumplimiento estricto de las instrucciones.

En el circuito de ficheros de solvencia, el papel varía: Equifax y Experian son responsables; el acreedor que comunica la deuda es corresponsable (art. 20.2 LOPDGDD); una empresa de recobro contratada por el acreedor suele ser encargada, salvo que tome decisiones propias sobre la deuda. Tras una cesión de créditos, el cesionario asume la posición del acreedor original y es nuevo responsable, no encargado (a fecha 2026-04-17).

Marco legal

El régimen se contiene íntegramente en los arts. 4.8 y 28 del RGPD, complementados por los arts. 32 a 36 LOPDGDD para las especificidades españolas. El contrato de encargo es obligatorio: su ausencia convierte automáticamente al encargado en responsable y activa el régimen sancionador aplicable a esa posición más exigente.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), artículos 4.8 y 28 — recuperado 2026-04-17