Quién es quién en el tratamiento

El responsable del fichero o del tratamiento es la persona física o jurídica, de carácter público o privado, que solo o junto con otros decide la finalidad y el uso de los datos. En una frase: es quien dispone qué se va a hacer con ellos.

De esa capacidad de decisión salen sus obligaciones, que son tres.

• Inscribir los ficheros ante el Registro General de Protección de Datos.
• Adoptar las medidas de seguridad necesarias.
• Informar y obtener el consentimiento para proceder a la recogida de los datos personales.

Que sea público o privado no cambia nada: un ayuntamiento es responsable del tratamiento exactamente igual que una empresa.

El encargado de tratamiento es quien, solo o conjuntamente con otros, trata datos de carácter personal por cuenta del responsable, porque existe una relación jurídica que le vincula con él. Esa relación jurídica es la nota que lo define: no trata datos porque quiera, sino porque alguien se los ha encomendado.

El corresponsable aparece cuando los fines o los medios del tratamiento se determinan «junto con otros». No es un intermedio entre responsable y encargado: es un responsable que comparte la decisión con otro responsable.

El delegado de protección de datos es el responsable de garantizar que se cumpla la normativa dentro de la empresa u organización. Es una figura de control interno, no un cargo ejecutivo: no decide sobre los datos, vigila cómo se decide.

• Informar y asesorar al encargado del tratamiento y a los empleados que se ocupen del tratamiento acerca de sus obligaciones.
• Supervisar el cumplimiento de las disposiciones aplicables.
• Asesorar sobre el impacto de la materia en protección de datos.
• Actuar como representante de la organización ante la Agencia Española de Protección de Datos.

Hay un criterio antiguo que conviene tener desactivado: se suprime la obligación de designar un delegado por el simple hecho de tener más de 250 trabajadores. El tamaño de la plantilla dejó de ser, por sí solo, el detonante de la obligación.

El delegado es el interlocutor de la organización ante la AEPD. Ese papel de puente hacia fuera es el que más se pregunta de sus funciones.

El responsable de seguridad es la persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables en la empresa u organización. La palabra «formalmente» importa: no es quien de hecho se ocupa de la seguridad, es quien tiene la designación.

Su designación solo es obligatoria cuando existan ficheros de nivel medio y alto. Es la única de estas figuras cuya obligatoriedad depende de la clasificación del fichero.

Los usuarios, por su parte, son los empleados que usan los ficheros de datos de carácter personal para introducir nuevos datos, realizar consultas o redactar informes. Son la última pieza de la cadena y, en la práctica, el punto por donde se producen la mayoría de los incidentes.

No confundir responsable del fichero con responsable de seguridad: el primero decide sobre los datos, el segundo coordina y controla las medidas que los protegen.

El afectado o titular de los datos es la persona física titular de los datos tratados. Es la misma figura a la que el Reglamento llama «interesado», y es el único de los actores que no forma parte de la organización.

Dispone de derechos, entre ellos conocer la identidad del responsable y la finalidad del tratamiento. Toda la maquinaria anterior (responsable, corresponsable, encargado, delegado, responsable de seguridad, usuarios) existe en último término para proteger a esta figura.