Encargado del tratamiento
Definición
Persona física o jurídica, autoridad pública u otro organismo que trata datos personales por cuenta del responsable del tratamiento y según sus instrucciones.
El encargado del tratamiento trata datos personales para los fines de otra organización. El alojamiento en la nube, la nómina tercerizada, los centros de atención y muchos proveedores de API de IA actúan como encargados cuando usan los datos del cliente solo para prestar el servicio contratado. El RGPD (art. 28) exige un contrato escrito que limite el tratamiento a instrucciones documentadas e imponga confidencialidad, seguridad, apoyo con las solicitudes de los interesados y las evaluaciones de impacto, devolución o supresión de los datos al final y derechos de auditoría. Los subencargados requieren autorización del responsable.
Las leyes latinoamericanas siguen una lógica parecida; la LGPD brasileña llama operador a esta figura y lo hace responsable solidario cuando incumple la ley o se aparta de las instrucciones.
La etiqueta no es permanente. Un proveedor que reutiliza los prompts de sus clientes para mejorar su propio modelo general decide un fin nuevo y pasa a ser responsable de esa actividad. Por eso la debida diligencia de proveedores de IA revisa las condiciones de entrenamiento, conservación y subencargados antes de contratar.
Dónde se evalúa este término
Evaluado en la Data Protection & AI Professional (DPAI), dominio 1: Fundamentos de protección de datos.
También lo cubren: Responsible AI Practitioner (RAIP)
Fuentes primarias
- GDPR Art. 4(8) and Art. 28
- LGPD Art. 5, VII and Art. 39