¿Contitular o encargado? Quién paga la multa del GDPR (y cómo no ser tú)

El lío de las responsabilidades: ¿quién responde ante el GDPR?

Imagina que organizas una cena con un amigo: tú pones la casa, él la comida. Si alguien se intoxica, ¿quién paga los daños? Depende de quién tuvo la culpa y de cómo se repartieron las tareas. En el GDPR pasa algo similar con los contitulares y los encargados del tratamiento. Pero aquí las multas pueden llegar al 4% de la facturación anual global. Nada de bromas.

Featured Snippet Bait: La diferencia clave está en quién decide el 'por qué' y el 'cómo' del tratamiento de datos. El contitular determina los fines y medios esenciales; el encargado solo ejecuta instrucciones. Pero ambos pueden ser multados si incumplen sus obligaciones específicas.

Contitulares: cuando dos (o más) son dueños del barco

Dos empresas que deciden conjuntamente cómo y para qué tratar datos personales son contitulares. Piensa en una app de fitness que comparte datos con una aseguradora para ofrecer descuentos: ambas deciden los fines. Si algo sale mal, responden solidariamente. Es decir, la autoridad puede reclamar el 100% de la multa a cualquiera de ellas, y luego que se arreglen entre sí.

Esto no es teoría: el caso Fashion ID (TJUE, C-40/17) dejó claro que quien incorpora un plugin de Facebook en su web es contitular con Facebook del tratamiento de datos de los visitantes. Así que si tienes un botón de 'Me gusta', ya eres copropietario del lío.

Encargados: no eres un simple mensajero

El encargado trata datos por cuenta del responsable. Pero ojo: no es un robot sin responsabilidad. El GDPR le exige garantías, notificar violaciones de seguridad, mantener un registro de actividades y, sobre todo, no subcontratar sin permiso. Si el encargado se sale del guion (por ejemplo, usa los datos para sus propios fines), se convierte en responsable y puede recibir una multa directa.

Ejemplo real: una empresa de cloud storage que no implementa medidas técnicas adecuadas y sufre una fuga de datos. La autoridad puede multar tanto al responsable (por elegir mal) como al encargado (por no proteger).

¿Y quién paga la sanción? La regla de oro

La autoridad de protección de datos impone la multa a quien incumple. Si el incumplimiento es del responsable, paga él. Si es del encargado, paga él. Si ambos tienen culpa, pueden ser multados individualmente o de forma solidaria si son contitulares. La clave está en el acuerdo de contitularidad o el contrato de encargado: ahí se reparten las responsabilidades y, sobre todo, quién asume los costes de una posible sanción.

Consejo práctico: si eres encargado, negocia una cláusula que limite tu responsabilidad a tus propias acciones, no a las del responsable. Y si eres contitular, define claramente quién responde de qué en el acuerdo. Porque, como en la cena, al final alguien tendrá que pagar la cuenta.

FAQ