El responsable y el encargado del tratamiento

• Mediante un convenio firmado con la Agencia Española de Protección de Datos
• Mediante una instrucción interna del delegado de protección de datos
• Mediante una norma reguladora con el contenido que exige el Reglamento
• Mediante una simple comunicación del órgano al responsable del tratamiento

En el sector público no hace falta un contrato de encargo: las competencias de encargado pueden atribuirse a un órgano de cualquier Administración, o a un organismo vinculado o dependiente, con una norma que las regule, y esa norma tiene que incorporar el contenido que el art. 28.3 del Reglamento exige al contrato. Un convenio con la Agencia, una instrucción del delegado o una comunicación no sirven.

• Conservarlos el encargado, que es quien los tenía, mientras dure esa obligación
• Devolverlos al responsable, que garantiza su conservación
• Entregarlos a la autoridad de control, que se encarga de custodiarlos
• Entregarlos al archivo público que resulte competente

Cuando una previsión legal obliga a conservarlos, la destrucción no procede: los datos se devuelven al responsable, que garantiza su conservación mientras dure esa obligación. La ley no deja esa conservación en manos del encargado, y ni la autoridad de control ni un archivo público asumen la custodia por este motivo.

• No, porque solo el responsable puede conservar los datos
• Sí, bloqueados, durante un plazo máximo de cinco años
• Sí, para sus propios fines, si el responsable no se opone
• Sí, bloqueados, mientras puedan derivarse responsabilidades

La ley permite al encargado guardar los datos, debidamente bloqueados, en tanto puedan derivarse responsabilidades de su relación con el responsable: le sirven para defenderse. El límite no es un plazo fijo, sino que esas responsabilidades puedan exigirse; y bloqueados quiere decir que no puede usarlos, tampoco para sus propios fines aunque el responsable no se oponga.

• Que ese tratamiento no sea meramente incidental o accesorio
• Que ese tratamiento afecte a más de cien personas a la vez
• Que los datos se hayan obtenido sin el consentimiento expreso del afectado
• Que ese tratamiento lo realice una Administración pública

No basta con que aparezca algún dato de categoría especial: el riesgo mayor está en el tratamiento no meramente incidental o accesorio de esas categorías, o de los datos sobre infracciones administrativas. La ley no fija aquí ningún número de afectados (el tratamiento masivo es otro supuesto de la lista, y sin cifra), ni lo hace depender de cómo se obtuvo el consentimiento o de que el responsable sea una Administración.

• Remitirlo cada año a la Agencia Española de Protección de Datos
• Hacerlo público, de forma accesible por medios electrónicos
• Conservarlo a disposición de la autoridad, sin publicarlo
• Publicarlo en el boletín oficial cada vez que se modifique

El registro de actividades de un responsable privado es un documento interno que se pone a disposición de la autoridad si lo pide; para los sujetos del art. 77.1 —las Administraciones públicas, los órganos constitucionales y jurisdiccionales y los demás que enumera— la ley va más allá y exige un inventario público, accesible por medios electrónicos. No prevé remitirlo cada año a la Agencia ni publicarlo en un boletín oficial con cada cambio.

• Cinco años desde el bloqueo; después se destruyen
• Mientras el responsable siga en activo; después se devuelven al afectado
• Lo que dure la prescripción de las responsabilidades; después se destruyen
• Lo que dure la prescripción de las responsabilidades; después se anonimizan

El bloqueo dura solo el plazo de prescripción de las responsabilidades que puedan derivarse del tratamiento, que es para lo que se guardan los datos. Pasado ese plazo, la ley ordena destruirlos: no prevé anonimizarlos para conservarlos, ni devolverlos al afectado, y tampoco fija un plazo propio de cinco años.

• La de encargada, porque así figura en su contrato
• La de corresponsable, junto con el gimnasio
• La de responsable del tratamiento
• La de subencargada del tratamiento

El nombre que figure en el contrato no decide: quien, figurando como encargado, utiliza los datos para sus propias finalidades pasa a tener la consideración de responsable de ese tratamiento, con todas sus obligaciones. No es corresponsable, porque el gimnasio no decide nada sobre esa publicidad, y la subcontratación de un encargado es una figura distinta que aquí no se da.

• La identidad del personal que accede a los datos
• El resultado de cada evaluación de impacto realizada
• Las violaciones de seguridad sufridas en el último año
• La base legal de cada actividad de tratamiento

A la información del registro del art. 30 del Reglamento, la ley orgánica suma para estos sujetos —los que enumera su art. 77.1, entre ellos las Administraciones públicas y sus organismos, los órganos constitucionales y jurisdiccionales, las universidades públicas y los grupos parlamentarios— la base legal del tratamiento. Ni la identidad del personal con acceso, ni las evaluaciones de impacto, ni las violaciones de seguridad forman parte del inventario según este precepto.

• El encargado, según el estado en que se encuentren los datos
• La autoridad de protección de datos, a petición de una de las partes
• El delegado de protección de datos del encargado del tratamiento
• El responsable del tratamiento, al que el encargado presta el servicio

El destino de los datos al acabar el encargo lo decide el responsable, que es quien determina los fines del tratamiento: el encargado solo trata los datos por su cuenta. No interviene la autoridad de control, y el delegado asesora y supervisa, pero no decide el destino de los datos.