Aplicable en España — basado en normativa española (BOE).Quien decide los fines y medios del tratamiento de datos personales, y responde por su cumplimiento normativo
Resumen rápido: El responsable del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento de datos personales, asumiendo la responsabilidad principal de que ese tratamiento se ajuste a la normativa de protección de datos.
Definición flash: Persona o entidad que decide los fines y medios del tratamiento de datos personales y responde de que se ajuste a la normativa (art. 4.7 RGPD).
Etiqueta lingüística
«Responsable» se emplea aquí en sentido técnico-jurídico, no moral: designa a quien tiene la capacidad de decisión sobre el tratamiento -para qué se usan los datos y cómo-, y por eso asume frente a las autoridades de control y los propios afectados el deber de responder de su legalidad, con independencia de que ejecute materialmente las operaciones de tratamiento o las encomiende a un tercero.
Definición técnica
El artículo 4.7 del Reglamento (UE) 2016/679, General de Protección de Datos, define al responsable del tratamiento como «la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento»; cuando el Derecho de la Unión o de los Estados miembros determina esos fines y medios, ese mismo Derecho puede establecer directamente quién es el responsable o los criterios para su nombramiento. La condición de responsable no depende de ejecutar materialmente el tratamiento, sino de tener la capacidad decisoria sobre su finalidad y sus medios esenciales, lo que lo distingue del encargado del tratamiento, que trata los datos por cuenta de aquel siguiendo sus instrucciones.
Aplicación práctica
En la práctica, identificar correctamente quién es el responsable del tratamiento es el primer paso de cualquier análisis de cumplimiento normativo: es sobre quien recaen las obligaciones de informar a los afectados, mantener el registro de actividades de tratamiento, notificar las brechas de seguridad a la autoridad de control, y responder ante el ejercicio de los derechos de acceso, rectificación, supresión y portabilidad. Cuando varias entidades determinan conjuntamente los fines y medios de un mismo tratamiento, se habla de corresponsables, figura que exige repartir de forma transparente sus respectivas responsabilidades mediante un acuerdo.
Contexto legal en España
El responsable del tratamiento se define en el artículo 4.7 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos, de aplicación directa en España, y se complementa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que desarrolla y adapta el Reglamento al ordenamiento español.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Encargado del tratamiento
- El encargado trata los datos personales por cuenta del responsable, siguiendo sus instrucciones y sin decidir los fines ni los medios esenciales del tratamiento; el responsable es quien determina esos fines y medios, y asume la responsabilidad principal frente a la normativa.
- Delegado de protección de datos
- El delegado de protección de datos es la figura, interna o externa, que asesora y supervisa el cumplimiento normativo dentro de la organización del responsable o del encargado; no toma las decisiones sobre el tratamiento ni sustituye la responsabilidad legal de estos.
Términos relacionados
Dato de autoridad
El artículo 4.7 del Reglamento (UE) 2016/679 define al responsable del tratamiento como «la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento».
Encuentra un abogado
Preguntas frecuentes sobre responsable del tratamiento
¿Quién es el responsable del tratamiento de datos personales?
La persona física o jurídica, autoridad pública, servicio u organismo que decide los fines y medios de ese tratamiento, conforme al artículo 4.7 del Reglamento General de Protección de Datos.
¿Es responsable quien ejecuta materialmente el tratamiento de los datos?
No necesariamente. La condición de responsable depende de decidir los fines y medios del tratamiento, no de ejecutarlo materialmente; quien lo ejecuta por cuenta y bajo instrucciones del responsable es el encargado del tratamiento.
¿Qué pasa si varias entidades deciden juntas los fines de un tratamiento?
Son corresponsables del tratamiento, y deben repartir de forma transparente sus respectivas responsabilidades mediante un acuerdo entre ellas.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.