El encargado del tratamiento es la persona o empresa que trata datos personales por cuenta de otra, el responsable del tratamiento (RGPD, art. 4.8). El responsable decide para qué y cómo se usan los datos; el encargado presta un servicio con ellos y sigue sus instrucciones. La relación se regula por contrato (art. 28).
En la práctica
La AEPD pone como ejemplo la empresa que aloja información en sus servidores. En una pyme son encargados el alojamiento web, la plataforma de automatización, el proveedor del modelo de lenguaje o el desarrollador que mantiene un sistema con acceso a datos de clientes. Y en una comunidad de propietarios, según la guía sectorial de la AEPD, la comunidad es la responsable y el administrador de fincas que la gestiona es el encargado.
El artículo 28 del RGPD fija lo que debe decir el contrato, que constará por escrito, también en formato electrónico. Primero, el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y los derechos y obligaciones del responsable. Después, que el encargado:
- Trata los datos solo siguiendo instrucciones documentadas del responsable, también para las transferencias a terceros países.
- Garantiza que quien los trata se ha comprometido a la confidencialidad.
- Aplica las medidas de seguridad del artículo 32.
- Solo recurre a otro encargado con autorización del responsable.
- Ayuda al responsable a atender los derechos de los interesados y a cumplir los artículos 32 a 36.
- Suprime o devuelve los datos al terminar el servicio, a elección del responsable.
- Pone a su disposición la información necesaria y permite auditorías.
Subencargados. Si el encargado usa a otro, como un administrador que mete un proveedor de IA, necesita autorización previa por escrito del responsable, específica o general. Con la general, debe avisar de cada cambio para que el responsable pueda oponerse (art. 28.2). Si el subencargado incumple, el encargado inicial sigue respondiendo ante el responsable (art. 28.4).
Lo que añade la ley española. La LOPDGDD aclara que el acceso del encargado a los datos no es una comunicación de datos, y que quien figura como encargado pero los usa para sus propios fines pasa a ser responsable (art. 33). El RGPD dice lo mismo de quien decide los fines y los medios (art. 28.10).
Lo aplicamos a casos concretos en IA para administradores de fincas y en qué es n8n.
Errores frecuentes
- Usar una cuenta gratuita sin contrato. El Laboratorio de la AEPD recuerda que una cuenta gratuita no equivale a una cuenta de empresa con garantías en el contrato.
- Elegir sin mirar. Solo vale un encargado que ofrezca garantías suficientes (art. 28.1), y el responsable sigue siéndolo: la AEPD habla de un deber de especial diligencia al elegirlo y supervisarlo.
- No revisar dónde se procesan los datos. Si salen del Espacio Económico Europeo, se aplican las condiciones de transferencia del capítulo V del RGPD.
- Olvidar al subencargado. Un agente de IA o un flujo en n8n puede sumar varios proveedores, y cada uno necesita su contrato.
Fuentes
- Reglamento (UE) 2016/679, RGPD (BOE), arts. 4.8, 28 y 44
- Ley Orgánica 3/2018, LOPDGDD (BOE), art. 33
- AEPD, Directrices para la elaboración de contratos entre responsables y encargados del tratamiento
- AEPD, Protección de datos y administración de fincas (guía sectorial, en revisión)
- Laboratorio AEPD, "Prompts, datos personales y confidencialidad", 25 de agosto de 2026
Esta definición explica la norma a la fecha de actualización. No sustituye el consejo de un abogado para un caso concreto.