Contratar una plataforma, externalizar remuneraciones o almacenar información en la nube no transfiere automáticamente las decisiones sobre los datos personales. La diferencia entre responsable y encargado del tratamiento define quién determina para qué se usan los datos, quién actúa siguiendo instrucciones y qué debe quedar regulado con el proveedor. Confundir estos papeles deja vacíos contractuales precisamente donde la empresa necesita demostrar control.
Responsable y encargado del tratamiento: la decisión separa los roles
El responsable determina los fines y los medios esenciales del tratamiento. Decide, por ejemplo, por qué se recopilan ciertos datos, qué resultado se busca, durante cuánto tiempo son necesarios y con quién pueden comunicarse. El encargado procesa información por cuenta del responsable y dentro del encargo recibido. Puede aportar capacidad técnica y proponer cómo prestar el servicio, pero no debería reutilizar los datos para una finalidad propia incompatible con las instrucciones.
La diferencia no depende solo del nombre escrito en el contrato. Importa observar quién toma las decisiones reales. Si un proveedor define por su cuenta una nueva finalidad o utiliza la información fuera del encargo, su posición puede dejar de corresponder a la de un simple encargado. La Ley 21.719 contempla que, bajo determinadas conductas ajenas a lo convenido, el tercero sea considerado responsable para los efectos legales correspondientes.
No todo proveedor ocupa un único papel
Una misma empresa puede actuar como encargada en una operación y como responsable en otra. Un proveedor tecnológico podría alojar una base de clientes siguiendo instrucciones y, a la vez, tratar los datos de contacto de sus propios usuarios para administrar la relación comercial. Son tratamientos distintos, con propósitos y responsabilidades que no conviene mezclar.
Tampoco basta con asumir que toda externalización convierte al proveedor en encargado. Si ambas partes deciden conjuntamente elementos determinantes del tratamiento, o si cada una persigue fines propios, el análisis cambia. La guía del Comité Europeo de Protección de Datos resulta útil como referencia comparada porque trata estas funciones como conceptos operativos: la actividad efectiva pesa más que la etiqueta elegida por las partes.
El contrato debe describir el tratamiento real
El régimen incorporado por la Ley 21.719 a la Ley 19.628 establece que el tratamiento mediante un tercero mandatario o encargado se regirá por contrato. El texto debe considerar el objeto y duración del encargo, su finalidad, los tipos de datos tratados, las categorías de titulares y los derechos y obligaciones de las partes. Estos elementos no son una cláusula decorativa: delimitan qué puede hacer el proveedor con la información.
Una descripción genérica, como “prestar servicios informáticos”, entrega poca claridad frente a una solicitud de derechos, un cambio de alcance o un incidente. El contrato debería corresponder al flujo verdadero: qué información recibe el proveedor, desde dónde, para qué operación, por cuánto tiempo y qué ocurre al finalizar. El mapa de datos personales ayuda a reunir esa base antes de negociar condiciones.
Subcontratar no debe borrar la trazabilidad
Los servicios digitales suelen apoyarse en otras compañías para alojamiento, soporte, mensajería o analítica. Esa cadena puede ser legítima, pero la organización necesita conocerla. La Ley 21.719 dispone que el encargado no podrá delegar total o parcialmente el encargo sin autorización específica y escrita del responsable, y mantiene su responsabilidad sobre lo delegado en los términos establecidos por la norma.
En la práctica, la autorización pierde valor si no se identifica al subencargado, la función que cumplirá y el lugar desde el cual tratará la información. También es importante que los compromisos relevantes sigan la cadena contractual. De otro modo, el responsable podría exigir controles a su proveedor directo que no alcanzan a la infraestructura donde finalmente residen o se procesan los datos.
Los derechos y la seguridad necesitan acuerdos operativos
Ante una solicitud de acceso, rectificación o supresión, el responsable debe saber qué información conserva el encargado y en qué plazo puede obtenerla o modificarla. Algo similar ocurre con la seguridad: se requiere acordar cómo se comunicarán incidentes, quién preservará evidencias, qué medidas se aplicarán y cómo se verificará el cierre del servicio. La obligación contractual debe poder ejecutarse, no quedar reducida a una declaración amplia de cumplimiento.
La profundidad del control dependerá del riesgo. Un servicio que trata datos sensibles o sostiene una operación crítica requiere mayor evidencia que un proveedor con acceso limitado a datos de contacto. Esta evaluación permite ajustar exigencias, revisiones y niveles de supervisión sin imponer el mismo tratamiento contractual a todas las relaciones.
Definir el rol antes de firmar evita correcciones tardías
La pregunta inicial no debería ser qué plantilla contractual utilizar, sino quién decide realmente el propósito y los elementos esenciales de cada tratamiento. Después corresponde identificar instrucciones, dependencias, subcontrataciones, medidas de seguridad y condiciones de término. Si el servicio ya existe, la misma revisión permite comparar el contrato con la operación y detectar diferencias.
AllDefense puede apoyar este análisis mediante sus servicios de Protección de Datos Personales y Revisión de Cumplimiento. El resultado esperado es una relación verificable: cada tratamiento con un propósito definido, instrucciones coherentes y responsabilidades que puedan demostrarse cuando el titular, la organización o la autoridad necesiten respuestas.
Fuentes consultadas
Biblioteca del Congreso Nacional: Ley 21.719; Biblioteca del Congreso Nacional: Ley 19.628, texto actualizado; Comité Europeo de Protección de Datos: Directrices 07/2020.
