Artículo 28 del RGPD: encargado del tratamiento

Las preguntas de Reglamento general de protección de datos (RGPD) que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Un encargado cuenta con autorización general y por escrito del responsable para recurrir a otros encargados. Según el RGPD, ¿qué debe hacer antes de incorporar a uno nuevo?

Pedir al responsable una autorización específica para ese encargado
Informar al responsable del cambio previsto, para que pueda oponerse
Nada, porque la autorización general ya cubre cualquier incorporación
Recabar el consentimiento de los interesados para la incorporación

La autorización previa por escrito puede ser específica o general. Con la general no hay que pedir permiso caso por caso, pero tampoco basta con callar: el encargado informa al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, y así este tiene la oportunidad de oponerse. Los interesados no tienen que consentir ese cambio: la relación es entre el encargado y el responsable.

En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿qué tiene que hacer el encargado del tratamiento si, en su opinión, una instrucción del responsable infringe el Reglamento?

Informar de ello al responsable de inmediato
Cumplirla y dejar constancia de su desacuerdo
Denunciarla ante la autoridad antes de cumplirla
Parar el tratamiento hasta que resuelva la autoridad

El Reglamento obliga al encargado a avisar inmediatamente al responsable cuando cree que una instrucción infringe el Reglamento u otra norma de protección de datos, porque es el responsable quien decide sobre el tratamiento. El Reglamento no le ordena cumplirla dejando constancia de su desacuerdo, ni acudir antes a la autoridad de control, ni paralizar el tratamiento a la espera de lo que esta resuelva.

el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, cuando un tratamiento se vaya a realizar por cuenta de un responsable, ¿qué encargado puede elegir este?

Uno inscrito en un registro de encargados de la autoridad de control
Uno establecido en el mismo Estado miembro que el propio responsable
Uno que haya designado su propio delegado de protección de datos
Uno que ofrezca garantías suficientes de aplicar medidas apropiadas

El responsable solo puede elegir un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de modo que el tratamiento cumpla el Reglamento y proteja los derechos del interesado: elegir bien forma parte de su responsabilidad. El Reglamento no crea un registro de encargados, no exige que el encargado esté en el mismo Estado miembro y no hace de tener delegado la condición para poder elegirlo.

este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas

Reglamento (UE) 2016/679, de 27 de abril

Un encargado recurre a otro encargado para ciertas actividades, y este segundo incumple sus obligaciones de protección de datos. Según el RGPD, ¿cómo queda el encargado inicial ante el responsable?

Libre de responsabilidad, si recurrió al otro con autorización
Responsable solo si el otro encargado no puede hacerle frente
Responsable por mitades con el otro encargado del tratamiento
Plenamente responsable del cumplimiento del otro encargado

El encargado inicial sigue siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones del otro encargado. Que la subcontratación estuviera autorizada no le libera; su responsabilidad no es subsidiaria, a la espera de que el otro no pueda responder, ni se reparte por mitades.

Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.

Reglamento (UE) 2016/679, de 27 de abril