Información sobre destinatarios y encargados del tratamiento

¿Es obligatorio informar sobre los encargados del tratamiento para cumplir con el deber de información sobre los destinatarios exigido por el RGPD?

Cuando un responsable del tratamiento tenga previsto ceder o comunicar los datos personales que ha recabado y de los que es responsable para algún tratamiento, además de contar con una de las bases jurídicas del art. 6.1. del RGPD, para hacerlo, conforme a los arts. 13/14.1.e) del RGPD debe informar a los interesados acerca de:

• La identidad de los destinatarios, si están claramente predeterminados, es decir los destinatarios nombrados, con vistas a que los interesados sepan exactamente quién dispone de sus datos personales, o
• Las categorías de destinatarios, si no están determinados previamente, en este caso la información debe ser tan específica como sea posible, indicando el tipo de destinatario (es decir, en referencia a las actividades que este ejerce), la industria, el sector y el subsector y la ubicación de los mismos.

Para determinar si podemos considerar a los encargados del tratamiento como “destinatarios” y por tanto debemos informar sobre .los mismos analizamos lo que dice:

1. La Normativa (RGPD y LOPDGDD)

Art. 4.9 del RGPD: define al “destinatario” como la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero.

Art. 33.1. de la LOPDGDD: establece que el acceso por parte de un encargado del tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el RGPD, la LOPDGDD y en sus normas de desarrollo

Del análisis de los dos preceptos indicados podríamos determinar que al no considerarse cesión o comunicación de datos el acceso a datos por parte del encargado, no son destinatarios y no sería obligatorio informar sobre los mismos.

2. AEPD

Sin embargo, a pesar de no ser obligatorio, la AEPD en el punto 7.4 Epígrafe “Destinatarios” de su “Guía para el cumplimiento del deber de informar” (pág. 13) indica que es conveniente informar también de la existencia de encargados del tratamiento, especialmente en los casos en que impliquen transferencias a terceros países.

3. CEPD

En su "Dictamen 22/2024 sobre determinadas obligaciones derivadas de recurrir a encargados y subencargados del tratamiento" el CEPD indica que los encargados del tratamiento a los que se transfieren datos se consideran “destinatarios”, por tanto se debe informar sobre los encargados o categorías de encargados conforme a lo establecido en el art. 13/14.1.e) RGPD.

4. Conclusión

Pese a no ser una obligación específica ni del RGPD ni de la LOPDGDD el informar sobre los encargados del tratamiento, además de ser una medida recomendable que refuerza el cumplimiento del principio de transparencia con el interesado (art. 5.1.a del RGPD), especialmente en el caso de encargados del tratamiento situados en terceros países, se debería seguir las indicaciones del CEPD en las Directrices 22/2024 e incluir en la información sobre destinatarios, conforme al art.13/14 RGPD los encargados o categorías de encargados de tratamiento.

En los casos que no estén determinados previamente destinatarios y/o encargados, o en los que se prevean cambios frecuentes en los mismos, para no tener que estar actualizando la información sobre el tratamiento que se facilita a los interesados cada vez que se produzcan estos cambios, también puede ser recomendable no optar por informar sobre la identidad de los mismos sino por la opción de informar sobre sus categorías, indicando en este caso el tipo de destinatario o de encargado (es decir, en referencia a las actividades que este ejerce), la industria, el sector y el subsector y la ubicación de los mismos.