Responsable vs encargado del tratamiento: Dos figuras de la normativa de protección de datos: el responsable determina los fines y medios del tratamiento de datos personales; el encargado los trata por cuenta del responsable y bajo sus instrucciones.
También conocido como: Controller y processor, Responsable y encargado
Puntos clave
- El responsable decide el para qué y el cómo; el encargado sigue instrucciones.
- Los roles se definen por los hechos, no por las etiquetas: quien fija el fin es responsable.
- Un mismo proveedor puede ser encargado de unos datos y responsable de otros, como sus registros de cuentas.
- El RGPD exige un contrato por escrito entre responsable y encargado con cláusulas concretas.
- Revisa la política de privacidad y los términos de C Chat, y confirma el reparto de roles con tu asesor.
La normativa de protección de datos no pregunta “¿de quién son los datos?”, sino “¿quién decide qué se hace con ellos?”. Esa pregunta reparte a las organizaciones en dos papeles, responsable y encargado, y define quién responde ante la autoridad, quién firma qué contrato y quién contesta cuando un empleado pide sus datos.
Responsable vs encargado: definición sencilla
| Responsable | Encargado | |
|---|---|---|
| Decide | Para qué se tratan los datos y los medios esenciales | Detalles técnicos, dentro de las instrucciones del responsable |
| Ejemplo típico | Una empresa que usa una app de chat en su operación | El proveedor que aloja esos mensajes |
| Obligaciones principales | Base jurídica, transparencia, derechos de las personas, responsabilidad general | Seguridad, confidencialidad, seguir instrucciones, ayudar al responsable |
| Contrato | Debe firmar un contrato con sus encargados | No puede usar los datos para fines propios fuera del contrato |
Los términos vienen del RGPD, pero ideas parecidas aparecen en muchas leyes de protección de datos de América Latina y de otros lugares.
Cómo funciona
Los papeles se asignan mirando lo que cada parte hace en la realidad. Algunas pruebas prácticas:
- ¿Quién decidió recoger estos datos y para qué? Esa parte suele ser responsable.
- ¿Quién podría detener el tratamiento mañana? El responsable puede; el encargado debe acatar.
- ¿Quién usa los datos para sus propios objetivos? Si el proveedor los usa para fines propios, es responsable de ese uso.
Es habitual que un proveedor tenga los dos sombreros: encargado del contenido que publica el equipo del cliente y responsable de sus registros de cuentas, seguridad y prevención de abusos. Su documentación de privacidad debería reflejarlo.
Por qué importa en la mensajería empresarial
Los papeles definen quién hace qué cuando surgen situaciones reales:
- Un empleado pide una copia de sus datos. Responde el responsable; el encargado ayuda.
- Un gerente quiere revisar los grupos. El responsable necesita una base jurídica y avisar al personal. Revisa la guía de RGPD y mensajería en el trabajo.
- Hay que conservar registros por una disputa. El responsable emite una retención legal; las herramientas del encargado determinan cómo se preserva en la práctica.
- Los datos deben quedarse en una región. El responsable necesita del encargado información sobre la residencia de datos.
- Plazos de conservación. El responsable fija la política de retención; las funciones de la herramienta determinan cómo se aplica.
Qué tiene que ver con C Chat
Cuando tu empresa crea un equipo en C Chat y decide quién entra en cada grupo, es tu empresa la que toma decisiones clave sobre esos datos de trabajo. El diseño de C Chat refleja esa separación:
- Las conversaciones de grupo de tu equipo pueden auditarlas y exportarlas tus propietarios y administradores, lo que apoya tus obligaciones como parte responsable de esos registros.
- Los mensajes directos entre personas son privados y no forman parte de la auditoría ni de la exportación.
- El acceso de la plataforma al contenido se da solo para moderar mensajes denunciados o por requerimientos legales, y queda registrado.
- Los datos de cuenta y seguridad, como el registro con teléfono o correo, los gestiona C Chat, operado por CGuard Pro LLC (Texas, Estados Unidos).
En las empresas de seguridad que usan CGuard Pro, la empresa de seguridad puede auditar los grupos de cada sitio y los chats de seguridad entre guardias y oficina, algo a tener en cuenta al repartir papeles entre la empresa de seguridad y sus clientes.
El panorama de cumplimiento, la página de retención de datos en C Chat, la política de privacidad y los términos describen cómo trata C Chat los datos hoy. Para preguntas contractuales, escribe a support@cguardpro.com.
Términos relacionados y errores comunes
- “El proveedor guarda los datos, así que el responsable es él.” Almacenar no convierte a nadie en responsable.
- “El encargado no tiene obligaciones.” Las tiene, y directas: seguridad y confidencialidad, entre otras.
- “Los papeles son lo que diga el contrato.” El contrato importa, pero la autoridad mira lo que ocurre de verdad.
Al comparar proveedores, el cuestionario de seguridad para proveedores incluye preguntas sobre papeles, subencargados y exportaciones. Las guías de retención legal y eDiscovery y de exportación de chats para cumplimiento muestran cómo se aplican las obligaciones del responsable en el chat.
Cómo empezar
Primero haz un mapa de tus datos de mensajería: qué grupos gestiona tu empresa, quién los administra y qué se puede revisar. Luego arma esa estructura en C Chat creando tu equipo en la app web en getcchat.com/c y asignando propietarios y administradores.
Preguntas frecuentes
¿Quién es el responsable cuando una empresa usa una app de chat para trabajar?
Normalmente la empresa que decide usar la app en su operación, define quién entra en cada grupo y decide si se auditan las conversaciones de grupo. El reparto exacto depende de los hechos y del contrato, así que confírmalo con tu asesor.
¿Una empresa puede ser responsable y encargada a la vez?
Sí. Un proveedor puede ser encargado del contenido que trata por instrucciones del cliente y responsable de los datos que usa para fines propios, como gestionar cuentas de usuario, facturar o prevenir abusos.
¿Qué es un contrato de encargo del tratamiento?
Es el contrato que el RGPD exige entre responsable y encargado. Fija el objeto y la duración del tratamiento, el tipo de datos, las medidas de seguridad, el uso de subencargados y cómo el encargado ayuda al responsable a cumplir sus obligaciones.
¿Existen los corresponsables del tratamiento?
Sí. Cuando dos organizaciones deciden juntas los fines y medios del tratamiento, son corresponsables y deben acordar cómo se reparten las obligaciones, por ejemplo quién atiende las solicitudes de las personas.
¿Qué es un subencargado?
Es otro proveedor al que el encargado recurre para tratar los datos del responsable, como un servicio de alojamiento o de envío de SMS. El responsable suele esperar que se le informe de los subencargados y poder oponerse.