Encarregat del tractament

L'encarregat del tractament és la persona física o jurídica, autoritat pública, servei o organisme que presta un servei que comporta el tractament de dades personals per compte del responsable del tractament.

El responsable del tractament ha de triar, diligentment, un encarregat del tractament que ofereixi garanties suficients respecte de la implantació i el manteniment de les mesures tècniques i organitzatives apropiades i que garanteixi la protecció dels drets de les persones afectades.

La relació entre el responsable i l'encarregat del tractament s’ha d'establir a través d'un contracte o d'un acte jurídic similar que els vinculi, que ha de constar per escrit, inclòs en format electrònic, i ha d’incorporar el contingut de l’article 28.3 de l’RGPD.

El contingut mínim del contracte o acord ha de preveure, entre d’altres, aspectes com:

• Objecte, durada, naturalesa i la finalitat del tractament.
• Tipus de dades personals i categories de persones interessades.
• Obligació de l'encarregat de tractar les dades personals només seguint instruccions documentades del responsable.
• El deure de confidencialitat.
• Condicions perquè el responsable pugui donar la seva autorització prèvia, específica o general, a les subcontractacions.
• Les mesures de seguretat.
• Els drets de les persones interessades.
• El destí de les dades al finalitzar la prestació del servei.

Els encarregats del tractament tenen obligacions pròpies que estableix l'RGPD, que no es circumscriuen a l'àmbit del contracte que els uneix al responsable. Així, per exemple:

• Han de mantenir un registre d’activitats de tractament
• Han de determinar les mesures de seguretat aplicables als tractaments que fan.
• Han de designar, si escau, un delegat de protecció de dades.

Els encarregats es poden adherir a codis de conducta o certificar-se en el marc dels esquemes de certificació previstos per l’RGPD.

L’encarregat del tractament ha de complir les instruccions que li dona el responsable del tractament per a la prestació del servei, especialment, en relació amb el tractament de les dades personals a les quals té accés com a conseqüència de la prestació d'aquest servei.

L'encarregat del tractament pot adoptar qualsevol decisió organitzativa i operacional necessària per prestar el servei que té encomanat. En cap cas pot variar les finalitats i els usos de les dades ja que això recau en el responsable del tractament, ni pot utilitzar-les per a les seves pròpies finalitats.

Si l’encarregat del tractament estableix relacions amb les persones afectades en el seu propi nom i sense que consti que actua per compte del responsable del tractament, se’l considerarà responsable del tractament, encara que s’hagi formalitzat un contracte d’encàrrec del tractament o un altre acte jurídic.

Si l’encàrrec del tractament es fa en el marc de la legislació de contractes del sector públic, el contractista tindrà la consideració d’encarregat del tractament en qualsevol cas, i l’administració adjudicatària tindrà la condició de responsable del tractament.

Si l’encarregat del tractament utilitza les dades per a les seves pròpies finalitats, també se’l considerarà responsable del tractament.

La comunicació de dades personals, en el marc d'un acord d'encarregat del tractament, a un país que no formi part de la Unió es regeix per la regulació establerta a l’RGPD per a les transferències internacionals.

La transferència a un tercer país no pot suposar en cap cas una reducció del nivell de protecció de les persones que estableix el Reglament. Aquest principi també s'aplica en les transferències posteriors de dades personals, des del tercer país a un altre tercer país o a una organització internacional.

Per a la transferència de dades a països que no garanteixen un nivell de protecció adequat, el responsable ha d'acreditar que l'encarregat del tractament està en disposició d'oferir garanties adequades. En tot cas, ha de garantir que les persones interessades compten amb drets exigibles i accions legals efectives.