Informació sobre destinataris i encarregats del tractament

És obligatori informar sobre els encarregats del tractament per complir el deure informació sobre els destinataris exigit pel RGPD?

Quan un responsable del tractament tingui previst cedir o comunicar les dades personals que ha demanat i de les quals és responsable per a algun tractament, a més de comptar amb una de les bases jurídiques de l'art. 6.1. del RGPD, per fer-ho, d'acord amb els arts. 13/14.1.e) del RGPD ha d'informar els interessats sobre:

• La identitat dels destinataris, si estan clarament predeterminats, és a dir els destinataris nomenats, amb vista a que els interessats sàpiguen exactament qui disposa de les seves dades personals, o
• Les categories de destinataris, si no estan determinats prèviament, en aquest cas la informació ha de ser tan específica com sigui possible, indicant el tipus de destinatari (és a dir, en referència a les activitats que aquest exerceix), la indústria, el sector i el subsector i la ubicació de els mateixos.

Per determinar si podem considerar els encarregats del tractament com a “destinataris” i per tant hem d'informar sobre .els mateixos analitzem el que diu:

1. La Normativa (RGPD y LOPDGDD)

Art. 4.9 del RGPD: defineix el “destinatari” com la persona física o jurídica, autoritat pública, servei o un altre organisme al qual es comuniquin dades personals, es tracti o no d'un tercer.

Art. 33.1. de la LOPDGDD: estableix que l'accés per part d'un encarregat del tractament a les dades personals que siguin necessàries per a la prestació d'un servei al responsable no es considerarà comunicació de dades sempre que es compleixi el que estableix l'RGPD, la LOPDGDD i les seves normes de desenvolupament.

De l'anàlisi dels dos preceptes indicats podríem determinar que en no considerar-se cessió o comunicació de dades l'accés a dades per part de l'encarregat, no són destinataris i no seria obligatori informar-ne.

2. L'AEPD

Tanmateix, tot i no ser obligatori, l'AEPD al punt 7.4 Epígraf “Destinataris” del seu “Guia per al compliment del deure d'informar” (pàg. 13) indica que és convenient informar també de l'existència d'encarregats del tractament, especialment en els casos en què impliquin transferències a països tercers.

3. Conclusió

Tot i no ser una obligació específica ni de l'RGPD ni de la LOPDGDD informar sobre els encarregats del tractament, i per tant no infringir el que estableixen els arts. 13/14.1.e) del RGPD si no ho fem, pot ser una mesura recomanable que reforci el compliment del principi de transparència amb l'interessat (art. 5.1.a del RGPD), especialment en el cas d'encarregats del tractament situats a tercers països, és a dir, en cas que l'encàrrec del tractament impliqui una transferència internacional de dades.

En els casos que no estiguin determinats prèviament destinataris i/o encarregats, o en què es prevegin canvis freqüents en aquests, per no haver d'estar actualitzant la informació sobre el tractament que es facilita als interessats cada vegada que es produeixin aquests canvis , també pot ser recomanable no optar per informar sobre la seva identitat sinó per l'opció d'informar sobre les seves categories, indicant en aquest cas el tipus de destinatari o d'encarregat (és a dir, en referència a les activitats que aquest exerceix), la indústria, el sector i el subsector i la ubicació dels mateixos.