¿Es obligatorio informar sobre los encargados del tratamiento para cumplir con el deber de información sobre los destinatarios exigido por el RGPD?
Cuando un responsable del tratamiento tenga previsto ceder o comunicar los datos personales que ha recabado y de los que es responsable para algún tratamiento, además de contar con una de las bases jurídicas del art. 6.1. del RGPD, para hacerlo, conforme a los arts. 13/14.1.e) del RGPD debe informar a los interesados acerca de:
- La identidad de los destinatarios, si están claramente predeterminados, es decir los destinatarios nombrados, con vistas a que los interesados sepan exactamente quién dispone de sus datos personales, o
- Las categorías de destinatarios, si no están determinados previamente, en este caso la información debe ser tan específica como sea posible, indicando el tipo de destinatario (es decir, en referencia a las actividades que este ejerce), la industria, el sector y el subsector y la ubicación de los mismos.
Para determinar si podemos considerar a los encargados del tratamiento como “destinatarios” y por tanto debemos informar sobre .los mismos analizamos lo que dice:
1. La Normativa (RGPD y LOPDGDD)
Art. 4.9 del RGPD: define al “destinatario” como la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero.
Art. 33.1. de la LOPDGDD: establece que el acceso por parte de un encargado del tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el RGPD, la LOPDGDD y en sus normas de desarrollo
Del análisis de los dos preceptos indicados podríamos determinar que al no considerarse cesión o comunicación de datos el acceso a datos por parte del encargado, no son destinatarios y no sería obligatorio informar sobre los mismos.
2. La AEPD
Sin embargo, a pesar de no ser obligatorio, la AEPD en el punto 7.4 Epígrafe “Destinatarios” de su “Guía para el cumplimiento del deber de informar” (pág. 13) indica que es conveniente informar también de la existencia de encargados del tratamiento, especialmente en los casos en que impliquen transferencias a terceros países.
3. Conclusión
Pese a no ser una obligación específica ni del RGPD ni de la LOPDGDD el informar sobre los encargados del tratamiento, y por tanto no infringir lo establecido en los arts. 13/14.1.e) del RGPD si no lo hacemos, puede ser una medida recomendable que refuerce el cumplimiento del principio de transparencia con el interesado (art. 5.1.a del RGPD), especialmente en el caso de encargados del tratamiento situados en terceros países, es decir en el caso de que el encargo del tratamiento implique una transferencia internacional de datos.
En los casos que no estén determinados previamente destinatarios y/o encargados, o en los que se prevean cambios frecuentes en los mismos, para no tener que estar actualizando la información sobre el tratamiento que se facilita a los interesados cada vez que se produzcan estos cambios, también puede ser recomendable no optar por informar sobre la identidad de los mismos sino por la opción de informar sobre sus categorías, indicando en este caso el tipo de destinatario o de encargado (es decir, en referencia a las actividades que este ejerce), la industria, el sector y el subsector y la ubicación de los mismos.