Aplicable en España — basado en normativa española (BOE).Quien trata datos personales por cuenta del responsable, siguiendo sus instrucciones
Resumen rápido: El encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos personales por cuenta del responsable del tratamiento, ejecutando sus instrucciones sin determinar por sí mismo los fines ni los medios esenciales de ese tratamiento.
Definición flash: Persona o entidad que trata datos personales por cuenta del responsable, sin decidir los fines del tratamiento (art. 4.8 RGPD y art. 33 LOPDGDD).
Etiqueta lingüística
«Por cuenta de» es la clave de la definición: el encargado actúa en interés y bajo instrucciones de otro -el responsable-, de forma análoga a como un mandatario actúa por cuenta de su mandante, sin que ello suponga necesariamente una relación de subordinación laboral, sino de encargo contractual sobre una actividad concreta.
Definición técnica
El artículo 4.8 del Reglamento (UE) 2016/679, General de Protección de Datos, define al encargado del tratamiento como «la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento». La relación entre responsable y encargado debe formalizarse mediante un contrato u otro acto jurídico vinculante, que regule el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos y categorías de interesados, y las obligaciones y derechos del responsable, garantizando que el encargado solo trata los datos siguiendo instrucciones documentadas de aquel. En Derecho español, el artículo 33 de la Ley Orgánica 3/2018 añade que el acceso del encargado a los datos necesarios para prestar el servicio no se considera comunicación de datos; que, al terminar el servicio, es el responsable quien decide si los datos se destruyen, se le devuelven o se entregan a un nuevo encargado; y que el encargado puede conservarlos, debidamente bloqueados, mientras puedan derivarse responsabilidades de su relación con el responsable.
Aplicación práctica
En la práctica, la figura del encargado del tratamiento es habitual en la externalización de servicios que implican acceso a datos personales -gestorías, proveedores de alojamiento en la nube, empresas de mensajería que gestionan envíos con datos de destinatarios-. El contrato de encargo del tratamiento es un documento imprescindible en estas relaciones, pero no basta por sí solo: el artículo 33.2 de la Ley Orgánica 3/2018 considera responsable, y no encargado, a quien establece relaciones con los afectados en su propio nombre sin que conste que actúa por cuenta de otro, aun cuando exista ese contrato, y a quien figurando como encargado utiliza los datos para sus propias finalidades.
Contexto legal en España
El encargado del tratamiento se define en el artículo 4.8 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos, de aplicación directa en España, y su régimen contractual se desarrolla en el artículo 28 del mismo Reglamento.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Responsable del tratamiento
- El responsable decide los fines y medios esenciales del tratamiento y asume la responsabilidad principal frente a la normativa; el encargado se limita a tratar los datos por cuenta de aquel, siguiendo sus instrucciones documentadas.
- Destinatario
- El destinatario es cualquier persona física o jurídica a la que se comuniquen datos personales, sea o no un tercero; el encargado es específicamente quien trata esos datos por cuenta del responsable en el marco de una relación de encargo formalizada contractualmente.
Términos relacionados
Dato de autoridad
El artículo 4.8 del Reglamento (UE) 2016/679 define al encargado del tratamiento como «la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento».
Encuentra un abogado
Preguntas frecuentes sobre encargado del tratamiento
¿Qué es el encargado del tratamiento de datos personales?
La persona o entidad que trata datos personales por cuenta del responsable del tratamiento, siguiendo sus instrucciones, conforme al artículo 4.8 del Reglamento General de Protección de Datos.
¿Necesita el encargado del tratamiento un contrato con el responsable?
Sí, un contrato u otro acto jurídico vinculante que regule el objeto, la duración, la naturaleza y finalidad del tratamiento, y las obligaciones de ambas partes, conforme al artículo 28 del RGPD.
¿Qué pasa si el supuesto encargado decide por sí mismo los fines del tratamiento?
Deja de actuar como simple encargado y puede ser considerado responsable de facto, asumiendo directamente las obligaciones y eventuales sanciones que correspondan a esa condición.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.