¿Responsable o encargado del tratamiento? Confusión de funciones y consecuencias

KVKK & Guía de responsabilidad de datos

KVKK suele dar lugar a confusión entre las funciones de Responsable del tratamiento y Encargado del tratamiento. Agencias, proveedores CRM y otros prestadores ocupan posiciones distintas en la cadena de datos. Una clasificación incorrecta puede generar responsabilidad y riesgos de multas.

Resumen: El responsable del tratamiento decide; el encargado ejecuta instrucciones. El servicio prestado puede difuminar esta frontera.

1. Definiciones básicas (artículo 3 del KVKK)

Función	Definición	Ejemplo
Responsable del tratamiento	Es la persona o institución que determina los propósitos y medios de tratamiento de datos personales.	La marca o empresa responsable de los datos
Encargado del tratamiento	Una persona física o jurídica que trata datos por cuenta del responsable y siguiendo sus instrucciones.	Agencia, proveedor de CRM, empresa de alojamiento

«Quien decide asume la responsabilidad; quien ejecuta rinde cuentas».

2. Determinar las funciones de agencias y proveedores CRM

• Agencia Digital: En este supuesto, la agencia actúa como encargada si solo integra plataformas sin decidir la estrategia de campaña.
• Proveedor CRM: El proveedor que aloja datos de clientes y facilita el sistema es encargado; utilizarlos para análisis propios puede convertirlo en responsable del tratamiento.
• Gestión de influencers: En la recogida mediante publicación de contenidos descrita, la marca es responsable del tratamiento y la agencia encargada.

3. Cadena de responsabilidad en los servicios de terceros

• Cada transferencia de datos crea una "relación de responsabilidad común".
• Es necesario un contrato de encargo del tratamiento (DPA).
• El encargado tiene obligaciones de seguridad conforme al artículo 12 de la KVKK.
• Si hay una transferencia al extranjero, se requiere el consentimiento explícito o permiso de la Junta.

"El eslabón débil de la cadena de datos pone en peligro a todo el sistema".

4. Ejemplos de decisiones judiciales

• Decisión de la autoridad (2022/1023): El proveedor de infraestructura de correo fue sancionado como encargado por una infracción en la conservación de registros.
• Decisión de la autoridad (2023/331): El uso de datos de clientes para análisis llevó a clasificar al proveedor CRM como responsable del tratamiento.
• Decisión judicial (2024/215): La ausencia de protocolo de transferencia entre agencia y marca dio lugar a sanciones para ambas por responsabilidad compartida.

5. Lista de verificación para reducir los riesgos

• El establecimiento de papeles debe hacerse por escrito en cada inicio de proyecto,
• El DPA (Contrato de Procesamiento de Datos) debe firmarse,
• elaborar un diagrama de flujos de datos,
• prohibir al encargado compartir datos con terceros,
• Debe determinarse el procedimiento de notificación de incumplimiento.

Recomendación de B10: Definir jurídicamente la cadena de datos agencia–marca antes de la ejecución técnica. Documentar claramente las obligaciones de cada parte en el contrato.

Aclare el papel de datos de su agencia.
B10 Digital Agency asesora sobre funciones de responsable y encargado, DPA y auditorías en sus servicios KVKK.

Solicitar asesoramiento sobre funciones de tratamiento Mi agencia sólo maneja publicidad, ¿cuenta como responsable del tratamiento?

No necesariamente. Sin decidir las finalidades, la agencia suele ser encargada. Utilizar los datos para análisis propios puede cambiar esa función.

¿Cómo determinar la diferencia entre un proveedor de CRM y un responsable del tratamiento?

Solo almacenar y facilitar acceso indica una función de encargado. Interpretar, segmentar o analizar datos con fines comerciales puede situar al proveedor como responsable.

¿Qué significa responsabilidad común?

Las decisiones conjuntas sobre el tratamiento pueden implicar responsabilidad solidaria en caso de infracción o sanción.

Etiquetas: KVKK • responsable del tratamiento • encargado del tratamiento • proveedores CRM • cumplimiento de agencias • DPA • B10 Digital Agency