El responsable y el encargado del tratamiento

Al elegir sus medidas, responsables y encargados han de valorar en particular si procede la evaluación de impacto en la protección de datos y la consulta previa que regula el Reglamento. Es la lógica de la responsabilidad activa: cada uno mide su riesgo y lo acredita, sin un trámite previo ante la autoridad. Notificar los ficheros a la Agencia para inscribirlos en un registro era el sistema de la Ley Orgánica 15/1999, que la ley vigente no recoge; y volver a pedir el consentimiento o nombrar representantes ante las autoridades autonómicas no figura entre lo que este precepto manda valorar.

La Agencia Española de Protección de Datos o, en su caso, las autoridades autonómicas pueden dirigir las medidas al representante solidariamente con el responsable o el encargado: pueden exigírselas a uno o a otro, por entero, sin esperar a que el responsable incumpla, que sería una responsabilidad subsidiaria. El representante tampoco sustituye al responsable, cuya responsabilidad queda a salvo, y conserva la acción de repetición frente a quien proceda.

La ley señala como supuesto de mayor riesgo el tratamiento de datos de afectados en situación de especial vulnerabilidad y nombra en particular a dos grupos: los menores de edad y las personas con discapacidad. Los demás grupos de las opciones no aparecen nombrados en el precepto; que un responsable los considere de riesgo por otras razones es posible, porque la lista termina con una cláusula abierta, pero no son los que la ley destaca.

El nombre que figure en el contrato no decide: quien, figurando como encargado, utiliza los datos para sus propias finalidades pasa a tener la consideración de responsable de ese tratamiento, con todas sus obligaciones. No es corresponsable, porque el gimnasio no decide nada sobre esa publicidad, y la subcontratación de un encargado es una figura distinta que aquí no se da.

Cuando dos o más responsables determinan juntos los objetivos y los medios del tratamiento, el Reglamento les pide repartirse las responsabilidades; la ley orgánica añade el criterio: lo que cada corresponsable hace de verdad en el tratamiento. No hay reparto a partes iguales ni por volumen de datos aportados, y no es la autoridad de control quien fija el reparto.

La ley permite al encargado guardar los datos, debidamente bloqueados, en tanto puedan derivarse responsabilidades de su relación con el responsable: le sirven para defenderse. El límite no es un plazo fijo, sino que esas responsabilidades puedan exigirse; y bloqueados quiere decir que no puede usarlos, tampoco para sus propios fines aunque el responsable no se oponga.

El registro de actividades de un responsable privado es un documento interno que se pone a disposición de la autoridad si lo pide; para los sujetos del art. 77.1 —las Administraciones públicas, los órganos constitucionales y jurisdiccionales y los demás que enumera— la ley va más allá y exige un inventario público, accesible por medios electrónicos. No prevé remitirlo cada año a la Agencia ni publicarlo en un boletín oficial con cada cambio.

En el sector público no hace falta un contrato de encargo: las competencias de encargado pueden atribuirse a un órgano de cualquier Administración, o a un organismo vinculado o dependiente, con una norma que las regule, y esa norma tiene que incorporar el contenido que el art. 28.3 del Reglamento exige al contrato. Un convenio con la Agencia, una instrucción del delegado o una comunicación no sirven.

El destino de los datos al acabar el encargo lo decide el responsable, que es quien determina los fines del tratamiento: el encargado solo trata los datos por su cuenta. No interviene la autoridad de control, y el delegado asesora y supervisa, pero no decide el destino de los datos.

Bloquear es identificar y reservar los datos para impedir su tratamiento, incluida su visualización, con una sola excepción: ponerlos a disposición de jueces y tribunales, del Ministerio Fiscal o de las Administraciones competentes, en particular las autoridades de protección de datos, para exigir posibles responsabilidades derivadas del tratamiento. Los datos bloqueados no pueden tratarse para ninguna otra finalidad, tampoco estadística ni para reactivar una relación con el afectado.

La regla mira a cómo actúa el prestador frente a los afectados y no a lo que dice el contrato, pero la propia ley la exceptúa en los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. La duración del encargo, el tipo de datos o una comunicación previa a la autoridad no cambian nada.

El bloqueo dura solo el plazo de prescripción de las responsabilidades que puedan derivarse del tratamiento, que es para lo que se guardan los datos. Pasado ese plazo, la ley ordena destruirlos: no prevé anonimizarlos para conservarlos, ni devolverlos al afectado, y tampoco fija un plazo propio de cinco años.

El bloqueo va unido a la rectificación y a la supresión: los datos que se corrigen o se borran no desaparecen al momento, sino que quedan identificados y reservados. Atender el derecho de acceso no altera los datos, y ni la violación de seguridad ni el acceso de un encargado obligan a bloquearlos.

La dificultad técnica no exime de la obligación: la ley la resuelve con un copiado seguro de la información, con evidencia digital o de otra naturaleza que permita acreditar su autenticidad, la fecha del bloqueo y que los datos no se manipularon mientras duró. Suprimir directamente frustraría el fin del bloqueo, y la ley no pide en este caso ninguna autorización a la Agencia.