Encargado del tratamiento, en detalle
La distinción importa porque reparte obligaciones. El responsable decide para qué y cómo se usan los datos y responde ante las personas afectadas. El encargado solo puede hacer con ellos lo que el responsable le ha indicado. El artículo 28 del RGPD exige que esa relación conste en un contrato que detalle el objeto, la duración, el tipo de datos, las medidas de seguridad y qué ocurre con los datos al terminar.
El encargado no puede subcontratar sin autorización, debe ayudar al responsable a atender los derechos de las personas y tiene que avisarle sin dilación si sufre una brecha. Al contratar software en la nube o servicios de inteligencia artificial, la empresa cliente es normalmente la responsable y el proveedor, el encargado: antes de enviarle datos personales hay que tener ese contrato y saber dónde se procesan.