Actualmente, a pesar de que el Reglamento General de Protección de Datos (en adelante, el “RGPD”) lleva más de cinco años en vigor, hay organizaciones de todos los ámbitos y sectores que siguen sufriendo graves problemas a la hora de distinguir los roles de responsable y encargado del tratamiento.
Esto es así debido a diversas causas, entre las que se encuentran el desconocimiento de la normativa, la complejidad de la situación o la dualidad de las operaciones que se pretenden llevar a cabo.
Dicho lo anterior, a continuación se desarrollará lo establecido en la resolución de la Agencia Española de Protección de Datos (en adelante, la “AEPD”) en el marco del procedimiento sancionador PS/00185/2022, en relación con una reclamación contra el Ministerio de Cultura y Deporte (en adelante, el “Ministerio”), en la que la AEPD impuso a este una sanción de apercibimiento por haber incumplido su deber de información a los interesados y por la incorrecta regulación de su relación con el encargado del tratamiento, todo ello, al considerarlo responsable del tratamiento.
El caso “eBiblio”: cuando las líneas parecen difuminarse
Este caso ilustra perfectamente cómo los roles de responsable y encargado pueden confundirse con facilidad, refrescando ambos conceptos y destacando sus diferencias.
El Ministerio publicó una licitación con la finalidad de encontrar un proveedor que creara e implementase una plataforma para ofrecer un servicio público en línea gratuito de préstamo de libros electrónicos (en adelante, la “plataforma eBiblio”). La entidad Distribuidora Digital de Libros, S.A.U. (en adelante, “LIBRANDA”) resultó ser la adjudicataria de dicha licitación, en la que también se incluían los servicios de mantenimiento ininterrumpido de la plataforma eBiblio y la implementación de aplicaciones móviles.
Las complicaciones surgieron en el momento en que las partes suscribieron el contrato para formalizar la adjudicación, ya que no detallaron sus respectivos roles respecto el tratamiento de datos personales. El contrato suscrito tan solo recogía una obligación genérica por la cual LIBRANDA se sometía a la normativa nacional y europea de protección de datos personales.
Esa falta de regulación abocó a LIBRANDA a elaborar los textos legales que aparecían en la plataforma eBiblio (Términos y Condiciones y Política de privacidad), identificándose a sí misma como responsable del tratamiento de los datos personales de los usuarios que disfrutaran del servicio. Adicionalmente, a lo largo del procedimiento sancionador, el Ministerio se identificó como un simple financiador de la plataforma, no pudiendo ser considerado responsable del tratamiento, al serle imposible acceder directamente a los datos personales de los usuarios del servicio ya que no necesitaba acceder a ellos.
De forma contraria a la visión del Ministerio, la AEPD determinó que este era el responsable del tratamiento y que LIBRANDA actuaba como encargada, por los siguientes motivos:
Adicionalmente, la resolución de la AEPD consideró que el Ministerio vulneró el artículo 13 del RGPD, referente aconl derecho de información de los interesados. Esto es así debido a que el Ministerio permitió que la única información recibida por los usuarios de la plataforma eBiblio fuese facilitada por el encargado del tratamiento, LIBRANDA, que se mostraba como titular y responsable de la misma.
Este es un ejemplo claro que muestra que la confusión de roles puede conllevar ulteriores incumplimientos de la normativa, ya que errar al determinar la posición que debe ocupar cada entidad puede derivar en el incumplimiento de otras obligaciones correspondientes al responsable del tratamiento.
Al margen del caso “eBiblio”: consideraciones generales
Una vez visto el caso de la plataforma eBiblio, es indudable la importancia de determinar correctamente las figuras que deben tomar las partes a la hora de regular su relación y establecer las condiciones en la que prestarán los servicios contratados.
A pesar de que no es común que la normativa especifique los roles que deben tomar las entidades respecto de los tratamientos que realicen en sus operaciones, encontramos algunos ejemplos en los que la propia normativa determina qué entidad es la responsable del tratamiento y cuál debe actuar como encargada de este. Algunos ejemplos son la Disposición adicional vigesimoquinta de la Ley 9/2017, de Contratos del Sector Público[1], los artículos 203 y 204 del Real Decreto-ley 3/2020[2], o incluso, el artículo 33.2 de la Ley Orgánica 3/2018[3]. Estas regulaciones establecen claramente que el ente público será siempre responsable del tratamiento y las empresas privadas, prestadoras de servicios, encargadas del tratamiento.
Volviendo al caso analizado, según la normativa citada anteriormente, LIBRANDA debía actuar como encargada y el Ministerio como responsable, pudiendo evitarse el procedimiento sancionador desde un inicio.
No obstante lo anterior, las organizaciones del sector privado no suelen contar con esta ayuda de la legislación, salvo contadas excepciones como, por ejemplo, en el caso de investigación biomédica o el sector seguros. En consecuencia, deben determinar por sí mismas los roles que deben desempeñar y deben ocuparse de regular correctamente sus relaciones con otras entidades o proveedores, en cumplimiento de la normativa vigente. Por ello, es primordial entender qué rol desarrollar en la operativa diaria de la organización y, en caso de duda, acudir a profesionales en la materia para obtener ayuda al definir claramente qué posición ocupar respecto del tratamiento de datos personales.
Otro recurso muy útil son las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, de la European Data Protection Board. En ellas, además de diferenciar claramente los roles del responsable y encargado del tratamiento, se explica de forma amplia cómo debe elegirse un encargado, cómo debe formalizarse el acto jurídico que vincule a las partes y el contenido mínimo de dicho contrato. Adicionalmente, estas directrices recuerdan a los encargados la prohibición de determinar los fines y medios del tratamiento, so pena de ser considerados responsables, junto con las obligaciones derivadas de ello y el enfrentamiento a posibles infracciones.
Reflexiones y lecciones aprendidas
Agradecimientos a Yeray Padilla, abogado del departamento de Tech & Data, por este artículo.
[1] Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.
[2] Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales.
[3] Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
