¿Qué diferencia hay entre el responsable y el encargado del tratamiento?

¿Quién es quién?

La Ley Orgánica de Protección de Datos Personales define ambos papeles en su artículo 4. El responsable es quien, solo o con otros, decide sobre la finalidad y el tratamiento de los datos personales. El encargado es quien trata los datos a nombre y por cuenta de un responsable. El artículo 5 los ubica dentro del sistema de protección de datos junto con el titular, el destinatario, la Autoridad de Protección de Datos y el delegado de protección de datos.

La pregunta que decide el papel es simple: ¿quién define para qué se usan los datos? Si el proveedor empieza a usarlos para sus propios fines, deja de actuar como encargado.

¿Qué obligaciones tiene cada uno?

El artículo 47 enumera quince obligaciones del responsable. Entre ellas: aplicar medidas técnicas, organizativas y jurídicas para demostrar el cumplimiento, gestionar riesgos, proteger los datos desde el diseño y por defecto, firmar contratos de confidencialidad con el encargado y con su personal, asegurarse de que el encargado ofrezca mecanismos suficientes para proteger los datos, mantener el Registro Nacional y designar delegado cuando corresponda. El mismo artículo agrega que el encargado tiene las mismas obligaciones que el responsable, en lo que le sea aplicable.

El artículo 34 fija el contenido mínimo del contrato: el encargado trata los datos solo según las instrucciones del responsable, no los usa para otras finalidades y no los transfiere ni comunica a otras personas, ni siquiera para conservarlos. Terminado el servicio, los datos se destruyen o se devuelven. Y el encargado responde por las infracciones que cometa. La norma general de transferencias de 2026 confirma que ese encargo no constituye una transferencia de datos.

¿Qué cambia con la inteligencia artificial?

La reforma a la norma de la Superintendencia sobre inteligencia artificial (Resolución SPDP-SPD-2026-0037-R), firmada el 9 de septiembre de 2026 y que rige desde su publicación en el Registro Oficial, precisa tres cosas:

• Las obligaciones de la norma alcanzan al responsable y a los encargados que tengan acceso, visibilidad o control efectivo de los datos, aunque estén cifrados o seudonimizados; a los encargados, solo en las fases del tratamiento en que tengan ese acceso.
• El encargado que provee, desarrolla o mantiene un sistema de inteligencia artificial debe darle al responsable información suficiente sobre su funcionamiento general, sus limitaciones, sus riesgos previsibles y los controles aplicados, sin revelar secretos comerciales.
• El encargado que diga no tener acceso, visibilidad ni control debe conservar evidencia que lo demuestre ante la Superintendencia.

Un ejemplo en una empresa ecuatoriana

Una cooperativa de ahorro de la Sierra contrata a un proveedor para que un agente de IA responda consultas de sus socios por WhatsApp. La cooperativa es la responsable; el proveedor, el encargado. El contrato establece que el proveedor solo usará los datos para atender a los socios, que no los empleará para entrenar modelos ni para otros clientes, qué otros proveedores intervienen en el servicio, cómo informará incidentes y que al terminar devolverá o destruirá la información. La cooperativa registra ese tratamiento en su registro de actividades.

Errores comunes

• Trabajar sin contrato. El artículo 34 exige que el tratamiento que hace el encargado esté regulado por un contrato.
• Creer que el proveedor es el responsable. La responsabilidad principal sigue siendo de la empresa que decide para qué se usan los datos.
• No prever la salida. Sin cláusula de devolución o destrucción, los datos quedan en manos del proveedor.
• Ignorar a los proveedores del proveedor. Si el encargado usa a otros, el responsable debe saberlo y el contrato debe preverlo.

Relación con otros términos

Cuando los datos salen hacia un destinatario que los usará para sus propios fines, el tema pasa a ser una transferencia internacional de datos. Cada tratamiento con encargados debe constar en el registro de actividades de tratamiento, y quién supervisa todo esto dentro de la empresa lo explica la guía del delegado de protección de datos. Para proveedores de modelos de lenguaje, revisa también la guía de inteligencia artificial y datos personales.