Respuesta breve
En un ecosistema SaaS, el contrato no decide por sí solo quién es responsable o encargado. La AEPD exige analizar la realidad funcional: quién determina los fines y medios, quién actúa por cuenta de otro y si el proveedor reutiliza los datos para una finalidad propia.
Cuando una empresa integra una plataforma, un proveedor cloud, una herramienta de atención al cliente o un sistema de inteligencia artificial, es frecuente que el contrato utilice etiquetas genéricas. El proveedor aparece como «responsable independiente» o como «encargado» sin que esa descripción coincida con lo que realmente hacen las partes.
Ese desajuste puede dejar sin cubrir el artículo 28 del Reglamento General de Protección de Datos (RGPD), generar dudas sobre las instrucciones y dificultar la respuesta ante una brecha o un ejercicio de derechos. Para una empresa tecnológica, revisar esta arquitectura es una decisión de cumplimiento y también de gestión de proveedores. Puedes consultar nuestro asesoramiento RGPD para empresas para ordenar roles, contratos y evidencias.
Qué ha dicho la AEPD en 2026
El 8 de junio de 2026, la Agencia Española de Protección de Datos publicó el criterio «Delimitación funcional entre responsable y encargado del tratamiento en ecosistemas logísticos y tecnológicos complejos». El documento resume las resoluciones PS-00247-2024 y PS-00248-2024.
La idea clave
La distribución contractual debe reflejar la operativa real. Si una entidad ejecuta determinadas operaciones por cuenta de otra, puede existir una relación de encargo aunque el contrato utilice otra etiqueta.
El caso partía de una cadena de entrega de paquetes con dos empresas, una de transporte y otra que operaba taquillas electrónicas. Había integración entre aplicaciones, intercambio de teléfono y número de pedido y comunicaciones por SMS o aplicación. Aunque el contrato trataba a las entidades como responsables independientes, la AEPD observó que una de ellas ejecutaba determinadas operaciones por cuenta de la otra.
La Agencia concluyó que la distribución contractual no reflejaba la realidad del tratamiento y que debía haberse documentado una relación de encargo conforme al artículo 28 RGPD. Las empresas reconocieron la responsabilidad y pagaron voluntariamente las sanciones, terminándose los procedimientos por ese motivo. La cuestión decisiva no fue la sofisticación tecnológica, sino quién decidía la finalidad y los medios de cada operación.
La regla práctica: analiza cada tratamiento
La condición de responsable o encargado es funcional y puede cambiar según la finalidad concreta. La etiqueta del contrato, la autonomía empresarial o el hecho de que existan dos sociedades distintas no bastan para resolverla.
01 · Responsable del tratamiento
Decide por qué se tratan los datos y los elementos esenciales de cómo se realiza el tratamiento. Debe poder demostrar el cumplimiento.
02 · Encargado del tratamiento
Procesa datos por cuenta del responsable y siguiendo sus instrucciones. La relación debe documentarse con el contenido del artículo 28 RGPD.
03 · Corresponsables
Dos o más entidades deciden conjuntamente los fines y medios de una operación. No es una fórmula de compromiso: exige identificar la decisión compartida y repartir obligaciones.
La FAQ de la AEPD y la guía del EDPB para pymes siguen el mismo enfoque: la calificación depende de las funciones reales.
Qué deben revisar las empresas SaaS y digitales
El criterio es especialmente útil para plataformas que conectan clientes, usuarios, operadores, aplicaciones y subproveedores. La analogía debe aplicarse con cuidado: la AEPD resolvió un caso logístico concreto, pero su razonamiento funcional ayuda a ordenar otros modelos tecnológicos.
- Finalidad: identifica quién decide el objetivo de cada tratamiento, no solo quién aloja la base de datos.
- Medios esenciales: revisa quién fija categorías de datos, conservación, accesos, destinatarios y reglas de uso.
- Instrucciones: conserva evidencias de instrucciones, cambios de configuración y decisiones operativas.
- Reutilización: separa el servicio al cliente de analítica, entrenamiento, marketing o mejora del producto.
- Subencargados: documenta cloud, soporte, mensajería, analítica, seguridad y cualquier proveedor con acceso.
En una plataforma con funciones de IA, que exista un modelo automatizado no decide por sí mismo el rol jurídico. Lo relevante será qué entidad establece la finalidad de la operación, quién determina sus parámetros esenciales y si el proveedor utiliza los datos fuera de las instrucciones recibidas. El análisis debe hacerse tratamiento por tratamiento.
Checklist para revisar un DPA y la arquitectura de proveedores
- Mapea cada flujo de datos y asigna una finalidad concreta.
- Compara la operativa real con el contrato y la política de privacidad.
- Determina si el proveedor actúa por cuenta de la empresa o decide fines propios.
- Completa el artículo 28: instrucciones, seguridad, confidencialidad, subencargos, derechos, brechas, EIPD, devolución o supresión y auditorías.
- Conserva una matriz de roles, anexos técnicos, lista de subencargados y cambios aprobados.
Preguntas frecuentes
¿El contrato puede decidir que el proveedor es encargado?
El contrato es necesario cuando existe un encargo, pero la etiqueta no es concluyente. Hay que contrastar el texto con la actividad real, las instrucciones y las decisiones sobre fines y medios.
¿Un proveedor SaaS es siempre encargado?
No. Puede ser encargado para una operación, responsable para una finalidad propia o tener roles distintos dentro del mismo servicio. La revisión debe hacerse por tratamiento y finalidad.
¿Qué hacer si detecto una mala clasificación?
Mapea los flujos, revisa instrucciones y subencargados, corrige el contrato y documenta la decisión. En estructuras complejas, conviene ordenar primero la matriz de tratamientos.
¿Tu proveedor tecnológico está bien clasificado?
Álvaro Ruipérez Candón analiza relaciones responsable-encargado, DPA, subencargados y flujos de datos en empresas digitales.
Autor: Álvaro Ruipérez Candón, abogado de derecho digital, RGPD e inteligencia artificial en ScandoUp Global Legal. Contenido informativo, actualizado el 30/09/2026. La aplicación del RGPD depende de los hechos y contratos de cada organización.