Las obligaciones generales del responsable y del encargado

• En uno de los Estados miembros en que estén los interesados
• En el Estado miembro que prefiera, aunque no haya interesados
• En cada Estado miembro donde haya interesados, uno por Estado
• En el Estado miembro donde tenga su sede el Comité Europeo

El representante se establece en uno de los Estados miembros en que estén los interesados cuyos datos se tratan, por ofrecerles bienes o servicios o por controlar su comportamiento. Basta con uno: no hace falta un representante por Estado. Y el responsable no puede llevarlo a un Estado donde no haya interesados, ni lo decide la sede del Comité Europeo de Protección de Datos.

• Siempre, con la fecha exacta de supresión de cada interesado
• Solo si el tratamiento incluye categorías especiales de datos
• Cuando sea posible, como una de las informaciones del registro
• No figuran: se fijan en el contrato con cada encargado

Los plazos previstos para la supresión son una de las informaciones del registro del responsable, pero con la reserva «cuando sea posible», igual que la descripción general de las medidas de seguridad. No se exige una fecha por interesado, la obligación no depende de que se traten categorías especiales y el Reglamento no los saca del registro para llevarlos al contrato de encargo.

• No, porque lo que hace consta en el registro del responsable
• No, salvo que la autoridad de control se lo requiera expresamente
• Sí, pero solo si ha designado un delegado de protección de datos
• Sí, de las actividades que realiza por cuenta de un responsable

Cada encargado, y en su caso su representante, lleva un registro de todas las categorías de actividades de tratamiento que efectúa por cuenta de un responsable, con un contenido más corto que el del responsable: por ejemplo, no recoge los fines. No lo sustituye el registro del responsable ni depende de haber designado delegado; y la autoridad de control no crea la obligación con su requerimiento: lo que puede pedir es que se le ponga a disposición.

• Uno inscrito en un registro de encargados de la autoridad de control
• Uno establecido en el mismo Estado miembro que el propio responsable
• Uno que haya designado su propio delegado de protección de datos
• Uno que ofrezca garantías suficientes de aplicar medidas apropiadas

El responsable solo puede elegir un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de modo que el tratamiento cumpla el Reglamento y proteja los derechos del interesado: elegir bien forma parte de su responsabilidad. El Reglamento no crea un registro de encargados, no exige que el encargado esté en el mismo Estado miembro y no hace de tener delegado la condición para poder elegirlo.

• Libre de responsabilidad, si recurrió al otro con autorización
• Responsable solo si el otro encargado no puede hacerle frente
• Responsable por mitades con el otro encargado del tratamiento
• Plenamente responsable del cumplimiento del otro encargado

El encargado inicial sigue siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones del otro encargado. Que la subcontratación estuviera autorizada no le libera; su responsabilidad no es subsidiaria, a la espera de que el otro no pueda responder, ni se reparte por mitades.

• Al determinar los medios del tratamiento y durante el propio tratamiento
• Solo al determinar los medios, antes de empezar a tratar ningún dato
• Solo durante el tratamiento, cuando ya se conozcan sus riesgos reales
• Solo en la revisión anual del tratamiento, una vez que ya está en marcha

El nombre engaña: la protección «desde el diseño» no se agota en la fase de diseño. El responsable aplica las medidas apropiadas —la seudonimización es el ejemplo que da el Reglamento— tanto al determinar los medios del tratamiento como en el momento del propio tratamiento. Quedarse en el diseño es la trampa del nombre; esperar a tratar olvida que la protección se concibe antes; y no se reduce a una revisión periódica del tratamiento ya en marcha.

• Que se seudonimicen antes de comunicarlos a cualquier destinatario
• Que se supriman de oficio tras un año sin haberse utilizado
• Que sin intervención de la persona no queden al alcance de cualquiera
• Que se guarden solo en servidores situados dentro de la Unión

Por defecto quiere decir sin que la persona haga nada: de entrada solo se tratan los datos necesarios para cada fin —en cantidad, extensión, plazo de conservación y accesibilidad— y, en particular, no quedan accesibles a un número indeterminado de personas sin su intervención, como un perfil que naciera público. La seudonimización es un ejemplo de medida desde el diseño, no lo que este apartado garantiza; y el Reglamento no fija aquí un plazo de un año ni exige servidores en la Unión.

• No, porque emplea a menos de 250 personas
• Sí, porque ese tratamiento no es ocasional
• No, porque la nómina no es categoría especial
• Sí, porque toda empresa de más de 25 lo está

La regla general exime a las empresas y organizaciones que emplean a menos de 250 personas, pero la exención cae si el tratamiento puede entrañar un riesgo para los derechos de los interesados, no es ocasional o incluye categorías especiales o datos penales: basta una de esas circunstancias. La nómina mensual es un tratamiento habitual, así que la empresa lleva registro aunque sea pequeña y sin necesidad de entrar en si trata categorías especiales. El Reglamento no fija ningún umbral de 25 empleados.

• El responsable, el encargado y, en su caso, sus representantes
• Solo el responsable, que responde también por lo que haga su encargado
• Solo el delegado de protección de datos, como interlocutor
• El responsable y su delegado, pero no el encargado

La obligación de cooperar alcanza al responsable, al encargado y, en su caso, a sus representantes. El encargado no queda al margen por tratar los datos por cuenta de otro, y la obligación tampoco se descarga entera en el delegado de protección de datos: el Reglamento la impone a quienes tratan los datos.