Dueños frente a Ejecutores: Guía Legal Definitiva sobre Responsabilidad y Subcontratación en el Tratamiento de Datos (Serie Protección de Datos VI)

Última actualización: 4 de agosto de 2026.

Respuesta rápida. Ser responsable o encargado del tratamiento no lo decide el contrato: lo decide quién manda. El responsable fija el porqué y el cómo; el encargado solo ejecuta instrucciones documentadas. Estos 10 criterios, extraídos de sentencias del Tribunal Supremo y de resoluciones sancionadoras de la AEPD, explican cuándo un proveedor muta en responsable, por qué el contrato del artículo 28 del RGPD es obligatorio y por qué una cláusula de indemnidad no borra la multa. Actualizado a 4 de agosto de 2026.

Introducción

Los 10 conocimientos esenciales para diferenciar al “Responsable” y al “Encargado” del tratamiento de datos

En el ámbito empresarial, delegar servicios y apoyarse en proveedores es una práctica habitual. Sin embargo, en materia de protección de datos, la diferencia entre ser el “Responsable” o el “Encargado” determina quién asume las obligaciones principales y las multas ante un incumplimiento. A continuación, se detallan 10 conocimientos fundamentales respaldados por la jurisprudencia y las resoluciones de la Agencia Española de Protección de Datos (AEPD) para distinguir claramente ambas figuras.

1. La distinción es un concepto puramente funcional y no depende de los contratos formales

Los conceptos de “responsable” y “encargado” son funcionales; su objetivo es asignar las responsabilidades en función del papel real que asume cada parte. La condición jurídica no se establece por la denominación formal que se incluya en un contrato mercantil (ej. llamar a alguien “subcontratista” o “encargado”), sino analizando los hechos concretos de quién decide las actividades reales en la práctica.

• AEPD: Resoluciones de Sanción EXP202414356 (Expediente PS/00177/2025) y EXP202414366 (Expediente PS/00190/2025), de 26 de marzo de 2025.
• AEPD: Resolución de Sanción EXP202304148 (Expediente PS/00247/2024), de 10 de octubre de 2025.

2. El “Responsable” es quien decide el “por qué” y el “cómo” se tratan los datos

El Responsable del tratamiento es la entidad o persona que determina los fines y los medios esenciales. Es decir, ostenta el poder de decisión para contestar a dos preguntas clave: ¿por qué tiene lugar el tratamiento? (la finalidad) y ¿quién ha decidido que debe llevarse a cabo? (los medios). Quien da las órdenes de inclusión en un fichero asume esta figura.

• Jurisprudencia: Tribunal Supremo, Sala de lo Contencioso-Administrativo (Sección 3.ª), Sentencias núm. 121/2019 de 5 de febrero de 2019, y núm. 1690/2019 de 10 de diciembre de 2019.

3. El “Encargado” actúa exclusivamente bajo las instrucciones del Responsable

Para que una empresa proveedora sea considerada “Encargada”, debe reunir dos requisitos: ser una entidad independiente y tratar los datos de manera exclusiva “por cuenta” o en nombre del responsable. El encargado no actúa bajo control directo como un empleado, pero su cometido legal se limita estrictamente a aplicar las instrucciones documentadas proporcionadas por el responsable para servir a los intereses de este último.

• Jurisprudencia: Tribunal Supremo, Sala de lo Civil, Sentencia núm. 551/2023, de 19 de abril de 2023.

4. Mutación de riesgo: cuando el Encargado usa los datos para fines propios se convierte en Responsable

Si un proveedor contratado como “Encargado” decide desobedecer o exceder las instrucciones y destina los datos personales a una finalidad propia (por ejemplo, tomar los números de teléfono de destinatarios de paquetería para crear una lista de “bloqueo” ajena al servicio contratado), se convierte automáticamente en un Responsable independiente, asumiendo toda la carga legal y sancionadora de esa infracción.

• AEPD: Resolución de Sanción EXP202304148 (Expediente PS/00247/2024), de 10 de octubre de 2025.

5. La obligación ineludible de firmar un “Contrato de Encargo” por escrito

El control legal sobre el encargado se pierde si no existen instrucciones documentadas de forma obligatoria. La relación entre responsable y encargado exige un contrato formal (o acto jurídico escrito) conforme al artículo 28 del RGPD. Una mera comunicación verbal de pautas no es válida; la falta de este contrato constituye una infracción directa atribuible al responsable que delega el servicio.

• AEPD: Resolución de Sanción EXP202407910 (Expediente PS/00248/2024), de 30 de septiembre de 2025.
• Jurisprudencia: Tribunal Supremo, Sala de lo Civil, Sentencia núm. 551/2023, de 19 de abril de 2023.

6. Estructurar y organizar la información ajena convierte al empresario en Responsable

Un empresario no puede eximirse argumentando que los datos proceden de un fichero “ajeno” o “público” y que él es un mero receptor. Si la empresa realiza actos propios para estructurar, consultar, cotejar u organizar dicha información en sus instalaciones (por ejemplo, una farmacia organizando listados de pacientes de un centro geriátrico), se erige material y funcionalmente como Responsable del tratamiento ante el titular de los datos.

• AEPD: Resoluciones de Sanción EXP202414356 (Expediente PS/00177/2025) y EXP202414366 (Expediente PS/00190/2025), de 26 de marzo de 2025.

7. Las obligaciones de diligencia y control son indelegables

Las obligaciones fundamentales, como garantizar la calidad de los datos, verificar la obtención del consentimiento o garantizar la seguridad, recaen sobre el Responsable y son intransferibles al Encargado. El Responsable tiene el deber legal de llevar a cabo una supervisión diligente y no puede escudarse en los errores de las empresas que contrata.

• Jurisprudencia: Tribunal Supremo, Sala de lo Civil, Sentencia núm. 551/2023, de 19 de abril de 2023.

8. Proveedores informáticos y de hosting son Encargados del tratamiento

Cualquier prestador de servicios tecnológicos que proporcione espacio en la nube o soluciones informáticas, y que almacene los datos de los clientes del empresario, debe tener la consideración sistemática de Encargado del tratamiento. Estos proveedores están sujetos a las instrucciones de seguridad que indique el empresario que los contrata.

• Fuente Legal: Nota Jurídica «Tratamiento y Propiedad de los Datos» (ILP Abogados).
• AEPD: Resolución de Sanción EXP202414356 (Expediente PS/00177/2025), de 26 de marzo de 2025.

9. El Responsable de marketing responde, incluso, si el Encargado usa sus propias bases de datos

En las acciones comerciales, la empresa que promueve la campaña, fija los medios mercadotécnicos y se beneficia de la misma, actúa como Responsable. Esta mantiene la responsabilidad total de supervisión activa sobre sus colaboradores y agencias publicitarias externas (que actúan como encargados), incluso si estas agencias utilizan bases de datos de propiedad propia para realizar los envíos o llamadas.

• Jurisprudencia: Auto del Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 1.ª), de 23 de abril de 2025.

10. Las “Cláusulas de Indemnidad” no eximen de las multas de la AEPD

Es común firmar cláusulas de indemnidad en los contratos para que el Encargado asuma económicamente los errores cometidos. Aunque estas cláusulas permiten a la empresa “Responsable” presentar una acción de repetición (reclamación civil) contra el “Encargado” para recuperar el dinero de la sanción, no operan como un seguro absoluto; el Responsable seguirá siendo el infractor principal sancionado por la AEPD frente al ciudadano, y la cláusula no será válida si el error se originó por instrucciones defectuosas o incumplimientos propios del Responsable.

• Jurisprudencia: Tribunal Supremo, Sala de lo Civil, Sentencia núm. 551/2023, de 19 de abril de 2023.

Ninguno de estos diez criterios se resuelve con una etiqueta en la portada de un contrato: se resuelve mapeando quién decide cada flujo de datos, redactando las instrucciones documentadas del artículo 28 y sosteniendo esa posición con pruebas cuando la Agencia pregunta. Ese trabajo de reparto de papeles, contrato y defensa es el que cubre nuestra área de protección de datos y cumplimiento del RGPD.

Glosario

RESPONSABLE DEL TRATAMIENTO

Entidad o persona que determina la finalidad y los medios esenciales del tratamiento de datos, ostentando el poder de decisión sobre el “por qué” y el “cómo” se llevan a cabo.

ENCARGADO DEL TRATAMIENTO

Entidad independiente que trata datos personales exclusivamente por cuenta y en nombre del responsable, aplicando de manera estricta sus instrucciones documentadas.

CRITERIO FUNCIONAL

Principio jurídico según el cual la condición de responsable o encargado no se fija por la denominación formal en un contrato, sino por el papel real y práctico que desempeña cada parte.

MUTACIÓN DE RIESGO

Situación que se produce cuando un encargado desobedece o excede las instrucciones del responsable para destinar los datos a finalidades propias, convirtiéndose automáticamente en responsable independiente y asumiendo toda la carga sancionadora.

CONTRATO DE ENCARGO

Acto jurídico formal y escrito (conforme al artículo 28 del RGPD) de suscripción obligatoria para regular la relación entre el responsable y el encargado, garantizando el control legal mediante instrucciones documentadas.

OBLIGACIONES INDELEGABLES

Deberes fundamentales de diligencia, calidad de datos y supervisión activa que recaen de forma intransferible sobre el responsable, impidiéndole escudarse en fallos o errores de sus subcontratados.

PROVEEDORES DE HOSTING Y SERVICIOS EN NUBE

Prestadores tecnológicos que almacenan datos personales de los clientes del empresario, ostentando la consideración sistemática de encargados del tratamiento sujetos a pautas de seguridad.

CLÁUSULAS DE INDEMNIDAD

Estipulaciones contractuales de cobertura económica entre partes que habilitan acciones de repetición civil para recuperar el importe de las sanciones, pero que no atenúan ni eximen de la responsabilidad directa ni de la multa ante la AEPD.

¿Sabes si en tus contratos con proveedores figuras como responsable o como encargado, y si esa etiqueta coincide con lo que ocurre en la práctica? Revisamos tus contratos de encargo, tus instrucciones documentadas y tus proveedores tecnológicos para señalarte dónde la AEPD te sancionaría a ti y no a ellos: cuéntanos tu caso y lo revisamos contigo.

Preguntas frecuentes

Herramienta relacionada, de uso libre: las herramientas de protección de datos.