Aplicable en España — basado en normativa española (BOE).Quien trata datos personales por cuenta del responsable, siguiendo sus instrucciones
Resumen rápido: El encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos personales por cuenta del responsable del tratamiento, ejecutando sus instrucciones sin determinar por sí mismo los fines ni los medios esenciales de ese tratamiento.
Definición flash: Persona o entidad que trata datos personales por cuenta del responsable, sin decidir los fines del tratamiento (art. 4.8 RGPD).
Etiqueta lingüística
«Por cuenta de» es la clave de la definición: el encargado actúa en interés y bajo instrucciones de otro -el responsable-, de forma análoga a como un mandatario actúa por cuenta de su mandante, sin que ello suponga necesariamente una relación de subordinación laboral, sino de encargo contractual sobre una actividad concreta.
Definición técnica
El artículo 4.8 del Reglamento (UE) 2016/679, General de Protección de Datos, define al encargado del tratamiento como «la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento». La relación entre responsable y encargado debe formalizarse mediante un contrato u otro acto jurídico vinculante, que regule el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos y categorías de interesados, y las obligaciones y derechos del responsable, garantizando que el encargado solo trata los datos siguiendo instrucciones documentadas de aquel.
Aplicación práctica
En la práctica, la figura del encargado del tratamiento es habitual en la externalización de servicios que implican acceso a datos personales -gestorías, proveedores de alojamiento en la nube, empresas de mensajería que gestionan envíos con datos de destinatarios-. El contrato de encargo del tratamiento es un documento imprescindible en estas relaciones, y su ausencia o insuficiencia puede convertir al pretendido encargado en responsable de facto, con las consecuencias sancionadoras que ello conlleva si el tratamiento no se ajusta a la normativa.
Contexto legal en España
El encargado del tratamiento se define en el artículo 4.8 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos, de aplicación directa en España, y su régimen contractual se desarrolla en el artículo 28 del mismo Reglamento.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Responsable del tratamiento
- El responsable decide los fines y medios esenciales del tratamiento y asume la responsabilidad principal frente a la normativa; el encargado se limita a tratar los datos por cuenta de aquel, siguiendo sus instrucciones documentadas.
- Destinatario
- El destinatario es cualquier persona física o jurídica a la que se comuniquen datos personales, sea o no un tercero; el encargado es específicamente quien trata esos datos por cuenta del responsable en el marco de una relación de encargo formalizada contractualmente.
Términos relacionados
Dato de autoridad
El artículo 4.8 del Reglamento (UE) 2016/679 define al encargado del tratamiento como «la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento».
Encuentra un abogado
Preguntas frecuentes sobre encargado del tratamiento
¿Qué es el encargado del tratamiento de datos personales?
La persona o entidad que trata datos personales por cuenta del responsable del tratamiento, siguiendo sus instrucciones, conforme al artículo 4.8 del Reglamento General de Protección de Datos.
¿Necesita el encargado del tratamiento un contrato con el responsable?
Sí, un contrato u otro acto jurídico vinculante que regule el objeto, la duración, la naturaleza y finalidad del tratamiento, y las obligaciones de ambas partes, conforme al artículo 28 del RGPD.
¿Qué pasa si el supuesto encargado decide por sí mismo los fines del tratamiento?
Deja de actuar como simple encargado y puede ser considerado responsable de facto, asumiendo directamente las obligaciones y eventuales sanciones que correspondan a esa condición.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.