La determinación de las responsabilidades a las que se refiere el artículo 26.1 del Reglamento (UE) 2016/679 se realizará atendiendo a las actividades que efectivamente desarrolle cada uno de los corresponsables del tratamiento.
1. Definición de Corresponsabilidad
El RGPD define a los corresponsables del tratamiento como aquellos que, de manera conjunta, determinan los fines y medios del tratamiento de datos personales. Ambos corresponsables deben cumplir con las obligaciones establecidas por la normativa de protección de datos y garantizar la protección de los derechos de los interesados.
2. Requisitos para la Corresponsabilidad
Para que exista corresponsabilidad en el tratamiento, deben cumplirse los siguientes requisitos:
a. Determinación Conjunta de Fines y Medios
- Fines del Tratamiento: Los corresponsables deben definir de manera conjunta por qué se tratan los datos personales. Es decir, deben acordar los objetivos para los que se recolectan y utilizan los datos.
- Medios del Tratamiento: Además, deben decidir cómo se llevará a cabo el tratamiento, incluyendo la naturaleza del tratamiento y los tipos de datos personales que se recopilan y procesan.
b. Acuerdo Formal
- Acuerdo de Corresponsabilidad: Debe existir un acuerdo formal por escrito entre los corresponsables del tratamiento que establezca claramente la distribución de responsabilidades y obligaciones bajo el RGPD.
- Transparencia: El acuerdo debe especificar cómo se cumplirán las obligaciones del RGPD, la gestión de derechos de los interesados, y la coordinación en el cumplimiento de las obligaciones de seguridad y notificación de brechas de seguridad.
3. Obligaciones de los Corresponsables del Tratamiento
a. Información a los Interesados
- Transparencia: Los corresponsables deben proporcionar a los interesados información clara y completa sobre el tratamiento de sus datos, incluyendo la identidad de los corresponsables y el propósito del tratamiento.
b. Gestión de Derechos de los Interesados
- Ejercicio de Derechos: Deben establecer procedimientos para garantizar que los interesados puedan ejercer sus derechos (acceso, rectificación, supresión, limitación, oposición y portabilidad) de manera efectiva y eficiente.
- Responsabilidad Compartida: Los corresponsables deben coordinarse para cumplir con las solicitudes de los interesados y asegurar que estas solicitudes se gestionen de manera adecuada.
c. Seguridad del Tratamiento
- Medidas de Seguridad: Deben implementar y mantener medidas de seguridad adecuadas para proteger los datos personales y evitar el acceso no autorizado, la alteración o la pérdida de datos.
d. Notificación de Brechas de Seguridad
- Notificación a la Autoridad de Protección de Datos: En caso de una brecha de seguridad que afecte a los datos personales, los corresponsables deben coordinarse para notificar a la autoridad de protección de datos y, si es necesario, a los interesados afectados.
e. Contrato con Encargados del Tratamiento
- Subcontratación: Si alguno de los corresponsables subcontrata el tratamiento a un encargado, debe asegurarse de que el contrato con el encargado cumpla con los requisitos del RGPD y que el encargado gestione los datos de acuerdo con las instrucciones de los corresponsables.
4. Ejemplos de Corresponsabilidad
a. Proveedores de Servicios y Clientes
- Marketing Conjunto: Dos empresas pueden colaborar en una campaña de marketing conjunta. Ambas empresas serían corresponsables del tratamiento de los datos de los clientes utilizados para la campaña.
b. Empresas de Investigación y Universidades
- Estudios de Investigación: Una universidad y una empresa de investigación pueden llevar a cabo un estudio conjunto que implique el tratamiento de datos personales. Ambas entidades deben acordar cómo se determinarán los fines y medios del tratamiento y cumplir con las obligaciones del RGPD.
c. Asociaciones y Organizaciones Sin Ánimo de Lucro
- Proyectos Colaborativos: Varias organizaciones sin ánimo de lucro pueden colaborar en un proyecto que implique el tratamiento de datos personales. Deben establecer un acuerdo que defina claramente sus roles y responsabilidades en relación con el tratamiento de datos.
5. Consecuencias del Incumplimiento
El incumplimiento de las obligaciones como corresponsables del tratamiento puede resultar en sanciones por parte de las autoridades de protección de datos, que pueden incluir multas significativas. Además, los interesados pueden presentar reclamaciones y demandas por la gestión inadecuada de sus datos personales.