Encargado del Tratamiento
Un encargado del tratamiento es una entidad que trata datos personales por cuenta y bajo las instrucciones de un responsable del tratamiento. En el contexto de la publicidad política, los encargados manejan datos personales con fines de segmentación o entrega de anuncios, pero no deciden cómo o por qué se utilizan los datos. El responsable sigue siendo en última instancia responsable del tratamiento lícito.
Base Jurídica
"Encargado del tratamiento': toda persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento."
— Artículo 4(8), Reglamento (UE) 2016/679 (RGPD)
Si bien el Reglamento (UE) 2024/900 no define al encargado del tratamiento, hace referencia a la legislación de protección de datos y asigna obligaciones específicas a responsables y encargados cuando se utilizan datos personales para la segmentación de publicidad política en línea.
Por Qué Importa
Comprender el papel de los encargados del tratamiento es crucial para el cumplimiento tanto del RGPD como del reglamento sobre publicidad política. Cuando un partido político, campaña o patrocinador utiliza una plataforma en línea, proveedor de tecnología publicitaria o empresa de analítica para entregar anuncios políticos segmentados, ese proveedor normalmente actúa como encargado. El patrocinador o actor político sigue siendo el responsable y debe garantizar que el encargado cumpla todos los requisitos legales.
Los encargados deben implementar medidas técnicas y organizativas apropiadas, ayudar a los responsables a cumplir sus obligaciones (como responder a las solicitudes de los interesados) y tratar datos únicamente según instrucciones documentadas. No pueden utilizar datos personales para sus propios fines. Si un encargado determina sus propios fines de tratamiento, se convierte en responsable y asume la plena responsabilidad según la legislación de protección de datos.
Para la publicidad política, esta distinción importa porque la segmentación mediante datos personales está fuertemente restringida bajo el Capítulo III del Reglamento (UE) 2024/900. Los responsables deben garantizar que sus encargados cumplan con las limitaciones de segmentación, requisitos de consentimiento y prohibiciones de usar ciertas categorías de datos sensibles.
Puntos Clave
- Actúa según instrucciones: Los encargados manejan datos personales únicamente según las indicaciones del responsable; no pueden decidir cómo o por qué se tratan los datos.
- Permanece responsable: Los responsables son en última instancia responsables de garantizar que los encargados cumplan con el RGPD y las normas sobre publicidad política.
- Se requieren acuerdos escritos: Los responsables deben tener un contrato o acto jurídico con los encargados que especifique los términos del tratamiento, medidas de seguridad y obligaciones.
- Asiste con el cumplimiento: Los encargados deben ayudar a los responsables a responder solicitudes de derechos de los interesados, realizar evaluaciones de impacto e informar violaciones de datos.
- Puede convertirse en responsable: Si un encargado determina los fines y medios del tratamiento, es reclasificado como responsable con plena responsabilidad legal.
- Normas específicas para la segmentación: Cuando los encargados entregan anuncios políticos segmentados en línea, deben cumplir con las restricciones del Capítulo III y no pueden usar categorías especiales de datos con fines de segmentación.
Encargado del Tratamiento vs. Responsable del Tratamiento
Un responsable del tratamiento determina los fines y medios del tratamiento de datos personales, decidiendo qué datos recopilar, cómo utilizarlos y por qué. Un encargado del tratamiento actúa únicamente según las instrucciones del responsable y no toma esas decisiones.
En publicidad política, un partido político que decide lanzar una campaña publicitaria segmentada es el responsable. La plataforma de redes sociales o servicio de tecnología publicitaria que entrega esos anuncios según las instrucciones del partido es el encargado. Si la plataforma también utiliza los datos para sus propios fines (por ejemplo, mejorar su algoritmo de recomendación), actúa como responsable para ese fin independiente.
La distinción es crítica porque responsables y encargados tienen diferentes obligaciones bajo el RGPD, y la responsabilidad por el incumplimiento recae en última instancia sobre el responsable.