Informació sobre destinataris i encarregats del tractament

És obligatori informar sobre els encarregats del tractament per complir el deure informació sobre els destinataris exigit pel RGPD?

Quan un responsable del tractament tingui previst cedir o comunicar les dades personals que ha demanat i de les quals és responsable per a algun tractament, a més de comptar amb una de les bases jurídiques de l'art. 6.1. del RGPD, per fer-ho, d'acord amb els arts. 13/14.1.e) del RGPD ha d'informar els interessats sobre:

• La identitat dels destinataris, si estan clarament predeterminats, és a dir els destinataris nomenats, amb vista a que els interessats sàpiguen exactament qui disposa de les seves dades personals, o
• Les categories de destinataris, si no estan determinats prèviament, en aquest cas la informació ha de ser tan específica com sigui possible, indicant el tipus de destinatari (és a dir, en referència a les activitats que aquest exerceix), la indústria, el sector i el subsector i la ubicació de els mateixos.

Per determinar si podem considerar els encarregats del tractament com a “destinataris” i per tant hem d'informar sobre .els mateixos analitzem el que diu:

1. La Normativa (RGPD y LOPDGDD)

Art. 4.9 del RGPD: defineix el “destinatari” com la persona física o jurídica, autoritat pública, servei o un altre organisme al qual es comuniquin dades personals, es tracti o no d'un tercer.

Art. 33.1. de la LOPDGDD: estableix que l'accés per part d'un encarregat del tractament a les dades personals que siguin necessàries per a la prestació d'un servei al responsable no es considerarà comunicació de dades sempre que es compleixi el que estableix l'RGPD, la LOPDGDD i les seves normes de desenvolupament.

De l'anàlisi dels dos preceptes indicats podríem determinar que en no considerar-se cessió o comunicació de dades l'accés a dades per part de l'encarregat, no són destinataris i no seria obligatori informar-ne.

2. AEPD

Tanmateix, tot i no ser obligatori, l'AEPD al punt 7.4 Epígraf “Destinataris” del seu “Guia per al compliment del deure d'informar” (pàg. 13) indica que és convenient informar també de l'existència d'encarregats del tractament, especialment en els casos en què impliquin transferències a països tercers.

3. CEPD

En el seu "Dictamen 22/2024 sobre determinades obligacions derivades de recórrer a encarregats i subencarregats del tractament", el CEPD indica que els encarregats del tractament als quals es transfereixen dades es consideren "destinataris". Per tant, s'ha d'informar sobre els encarregats o les categories d'encarregats, de conformitat amb el que estableix l'article 13/14.1.e) del RGPD.

4. Conclusió

Tot i que no és una obligació específica ni del RGPD ni de la LOPDGDD informar sobre els encarregats del tractament, a més de ser una mesura recomanable que reforça el compliment del principi de transparència amb l’interessat (art. 5.1.a del RGPD), especialment en el cas d'encarregats del tractament situats en tercers països, s'haurien de seguir les indicacions del CEPD a les Directrius 22/2024 i incloure en la informació sobre destinataris, de conformitat amb els articles 13 i 14 del RGPD, els encarregats o les categories d'encarregats del tractament.

En els casos que no estiguin determinats prèviament destinataris i/o encarregats, o en què es prevegin canvis freqüents en aquests, per no haver d'estar actualitzant la informació sobre el tractament que es facilita als interessats cada vegada que es produeixin aquests canvis , també pot ser recomanable no optar per informar sobre la seva identitat sinó per l'opció d'informar sobre les seves categories, indicant en aquest cas el tipus de destinatari o d'encarregat (és a dir, en referència a les activitats que aquest exerceix), la indústria, el sector i el subsector i la ubicació dels mateixos.