Las obligaciones generales del responsable y del encargado

• Al determinar los medios del tratamiento y durante el propio tratamiento
• Solo al determinar los medios, antes de empezar a tratar ningún dato
• Solo durante el tratamiento, cuando ya se conozcan sus riesgos reales
• Solo en la revisión anual del tratamiento, una vez que ya está en marcha

El nombre engaña: la protección «desde el diseño» no se agota en la fase de diseño. El responsable aplica las medidas apropiadas —la seudonimización es el ejemplo que da el Reglamento— tanto al determinar los medios del tratamiento como en el momento del propio tratamiento. Quedarse en el diseño es la trampa del nombre; esperar a tratar olvida que la protección se concibe antes; y no se reduce a una revisión periódica del tratamiento ya en marcha.

• No, porque emplea a menos de 250 personas
• Sí, porque ese tratamiento no es ocasional
• No, porque la nómina no es categoría especial
• Sí, porque toda empresa de más de 25 lo está

La regla general exime a las empresas y organizaciones que emplean a menos de 250 personas, pero la exención cae si el tratamiento puede entrañar un riesgo para los derechos de los interesados, no es ocasional o incluye categorías especiales o datos penales: basta una de esas circunstancias. La nómina mensual es un tratamiento habitual, así que la empresa lleva registro aunque sea pequeña y sin necesidad de entrar en si trata categorías especiales. El Reglamento no fija ningún umbral de 25 empleados.

• Solo frente al corresponsable que fija el acuerdo
• Ante el punto de contacto, que decide quién responde
• Frente a cada uno de ellos, sea cual sea lo acordado
• Ante la autoridad de control, que remite la solicitud

El acuerdo reparte las responsabilidades entre los corresponsables, pero no vincula al interesado: con independencia de sus términos, puede ejercer sus derechos frente a cada uno de los responsables. El punto de contacto que el acuerdo puede designar facilita las cosas, pero no limita a quién dirigirse; y la autoridad de control no es quien atiende las solicitudes de ejercicio de derechos.

• En uno de los Estados miembros en que estén los interesados
• En el Estado miembro que prefiera, aunque no haya interesados
• En cada Estado miembro donde haya interesados, uno por Estado
• En el Estado miembro donde tenga su sede el Comité Europeo

El representante se establece en uno de los Estados miembros en que estén los interesados cuyos datos se tratan, por ofrecerles bienes o servicios o por controlar su comportamiento. Basta con uno: no hace falta un representante por Estado. Y el responsable no puede llevarlo a un Estado donde no haya interesados, ni lo decide la sede del Comité Europeo de Protección de Datos.

• Las de la empresa encargada, que es quien la emplea
• Las del responsable, salvo que el Derecho la obligue
• Las del delegado de protección de datos del encargado
• Las suyas, si son compatibles con el fin del encargo

Tanto el encargado como cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a los datos solo puede tratarlos siguiendo instrucciones del responsable, salvo que el Derecho de la Unión o de los Estados miembros le obligue. Que su empleadora sea la empresa encargada no cambia de quién son las instrucciones; el delegado de protección de datos no imparte instrucciones de tratamiento, y nadie con acceso puede tratar los datos por su cuenta.

• Informar de ello al responsable de inmediato
• Cumplirla y dejar constancia de su desacuerdo
• Denunciarla ante la autoridad antes de cumplirla
• Parar el tratamiento hasta que resuelva la autoridad

El Reglamento obliga al encargado a avisar inmediatamente al responsable cuando cree que una instrucción infringe el Reglamento u otra norma de protección de datos, porque es el responsable quien decide sobre el tratamiento. El Reglamento no le ordena cumplirla dejando constancia de su desacuerdo, ni acudir antes a la autoridad de control, ni paralizar el tratamiento a la espera de lo que esta resuelva.

• Que se seudonimicen antes de comunicarlos a cualquier destinatario
• Que se supriman de oficio tras un año sin haberse utilizado
• Que sin intervención de la persona no queden al alcance de cualquiera
• Que se guarden solo en servidores situados dentro de la Unión

Por defecto quiere decir sin que la persona haga nada: de entrada solo se tratan los datos necesarios para cada fin —en cantidad, extensión, plazo de conservación y accesibilidad— y, en particular, no quedan accesibles a un número indeterminado de personas sin su intervención, como un perfil que naciera público. La seudonimización es un ejemplo de medida desde el diseño, no lo que este apartado garantiza; y el Reglamento no fija aquí un plazo de un año ni exige servidores en la Unión.

• No, porque lo que hace consta en el registro del responsable
• No, salvo que la autoridad de control se lo requiera expresamente
• Sí, pero solo si ha designado un delegado de protección de datos
• Sí, de las actividades que realiza por cuenta de un responsable

Cada encargado, y en su caso su representante, lleva un registro de todas las categorías de actividades de tratamiento que efectúa por cuenta de un responsable, con un contenido más corto que el del responsable: por ejemplo, no recoge los fines. No lo sustituye el registro del responsable ni depende de haber designado delegado; y la autoridad de control no crea la obligación con su requerimiento: lo que puede pedir es que se le ponga a disposición.

• Uno inscrito en un registro de encargados de la autoridad de control
• Uno establecido en el mismo Estado miembro que el propio responsable
• Uno que haya designado su propio delegado de protección de datos
• Uno que ofrezca garantías suficientes de aplicar medidas apropiadas

El responsable solo puede elegir un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de modo que el tratamiento cumpla el Reglamento y proteja los derechos del interesado: elegir bien forma parte de su responsabilidad. El Reglamento no crea un registro de encargados, no exige que el encargado esté en el mismo Estado miembro y no hace de tener delegado la condición para poder elegirlo.