Glosario
Responsable y encargado del tratamiento
Dos palabras que se usan como sinónimos y significan cosas muy distintas: una decide y la otra ejecuta.
Son las dos figuras sobre las que se apoya toda la normativa de protección de datos, y en las conversaciones del día a día se usan indistintamente. La diferencia no es de tamaño ni de importancia: es de quién toma la decisión.
Responsable del tratamiento
Quien decide qué datos se recogen, para qué y durante cuánto tiempo. Normalmente, vuestra empresa.
Encargado del tratamiento
Quien trata esos datos siguiendo vuestras instrucciones, porque le habéis contratado para ello. Normalmente, el proveedor de la herramienta.
Qué le toca a cada uno
| Decisión | Quién la toma | Consecuencia práctica |
|---|---|---|
| Qué datos se piden a un proveedor | Vosotros | Pedir de más también es una decisión |
| Para qué se usan | Vosotros | Usarlos para otra cosa después no es automático |
| Cuánto tiempo se conservan | Vosotros | La herramienta guarda lo que le digáis, y mientras se lo digáis |
| Cómo se protegen técnicamente | El proveedor | Cifrado, accesos, copias, aislamiento entre clientes |
| Quién puede entrar dentro de vuestra cuenta | Vosotros | Los permisos los dais y los quitáis vosotros |
Importante
El error más caro es asumir que **contratar una buena herramienta traslada la responsabilidad**. No lo hace. El proveedor responde de proteger lo que le confiáis y de hacer solo lo que le pedís; la decisión de qué se guarda, para qué y hasta cuándo sigue siendo vuestra, y es justo lo que se comprueba cuando alguien pregunta.
Lo que sí conviene exigir al proveedor
Ojo con esto
Ese último punto sorprende: **un encargado suele apoyarse en otros encargados** — alojamiento, correo, mensajería. Eso no es irregular, pero sí es algo que tenéis derecho a conocer y que a vosotros os van a preguntar, no a ellos. Cuando un cliente grande os manda su cuestionario, la pregunta llega a vuestra puerta.
En la práctica, esto se traduce en una decisión muy concreta al configurar cualquier herramienta: no activar campos «por si acaso». Cada dato que pedís es un dato que tenéis que justificar, custodiar y borrar algún día.
Ten en cuenta
Cómo se traduce esto en documentos, contratos y plazos concretos depende de vuestro caso y del marco que os aplique — el **RGPD** para quien opera en Europa, entre otros. **Eso lo concreta vuestro asesor**; aquí solo se explica quién es quién para que la conversación empiece bien.
›Si el proveedor sufre un incidente, ¿respondo yo?
Cada uno responde de lo suyo, y por eso importa tener escrito qué le tocaba a cada cual.
›¿Puedo pedirle que borre todo?
Sí: trabaja por instrucciones vuestras, y eso incluye el final de la relación.
›¿Y si somos dos empresas decidiendo juntas?
Existe esa figura y cambia las obligaciones; es una conversación para vuestro asesor.
Un caso real
La situación
Un cliente pregunta a una empresa quién trata sus datos y con qué garantías.
Qué haces
- Responde con su propio criterio de recogida y conservación, y adjunta lo que le da el proveedor
Qué consigues
La respuesta la da quien decide, que es quien la tenía que dar.
La situación
Un cliente pregunta cuánto tiempo se guardan sus datos.
Qué haces
- Responde con su propia política de conservación
Qué consigues
Contesta quien decide, no quien ejecuta.
La situación
Se remite al proveedor una pregunta que corresponde a la empresa.
Qué haces
- Distingue qué decide cada parte
Qué consigues
La respuesta llega del que puede darla.
La situación
Hay que acreditar ante un cliente las garantías de un proveedor.
Qué haces
- Adjunta la documentación que el proveedor facilita
Qué consigues
Se aporta lo del proveedor sin asumir su papel.
La situación
Se firma un contrato sin definir quién decide qué.
Qué haces
- Lo aclara con el asesor antes de firmar
Qué consigues
El reparto queda escrito antes de hacer falta.
La situación
Un tercero pide datos directamente al proveedor.
Qué haces
- Se redirige la petición a quien decide
Qué consigues
La cadena de decisión se respeta.
Este artículo responde a
- diferencia entre responsable y encargado del tratamiento
- quién es el responsable de los datos si uso una plataforma
- qué es un encargado del tratamiento
- el proveedor responde de mis datos