¿Es necesario un acuerdo para ser corresponsables de un tratamiento?
La pregunta que responde el Tribunal de Justicia de la Unión Europea es si la calificación de dos entidades como corresponsables del tratamiento presupone la existencia de un acuerdo entre esas entidades sobre la determinación de los fines y medios del tratamiento de los datos personales en cuestión o la existencia de un acuerdo que establezca los requisitos relativos a la corresponsabilidad del tratamiento.
En primer lugar, aclararemos cuando existe corresponsabilidad en un tratamiento de datos personales.
De conformidad con lo establecido en el RGPD existen «corresponsables del tratamiento» cuando dos o más responsables del tratamiento determinan conjuntamente los objetivos y medios del tratamiento.
Como ha declarado el Tribunal de Justicia de la Unión Europea para que una persona física o jurídica pueda ser considerada corresponsable del tratamiento debe responder de manera independiente a la definición de «responsable del tratamiento» que figura en el RGPD.
Sin embargo, la existencia de una responsabilidad conjunta no se traduce necesariamente en una responsabilidad equivalente de los diversos agentes a los que atañe un tratamiento de datos personales. Por el contrario, esos agentes pueden presentar una implicación en distintas etapas de ese tratamiento y en distintos grados, de modo que el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto. Además, la responsabilidad conjunta de varios agentes respecto a un mismo tratamiento no exige que cada uno de ellos tenga acceso a los datos personales en cuestión.
La participación en la determinación de los fines y medios del tratamiento puede adoptar distintas formas y resultar tanto de una decisión común adoptada por dos o más entidades como de decisiones convergentes de esas entidades. En este último caso, dichas decisiones deben complementarse, de modo que cada una de ellas tenga un efecto concreto en la determinación de los fines y medios del tratamiento.
Aclarado el concepto de corresponsabilidad, es momento de dar respuesta a lo que plantea este artículo: no puede exigirse que exista un acuerdo formal entre dichos responsables del tratamiento en cuanto a los fines y medios del tratamiento.
Es cierto que, en virtud de lo establecido en el RGPD, los corresponsables del tratamiento deben determinar de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el propio RGPD. Sin embargo, la existencia de tal acuerdo no constituye un requisito previo para que dos o más entidades sean calificadas de corresponsables del tratamiento, sino una obligación que el RGPD impone a los corresponsables del tratamiento, una vez calificados de tales, con el fin de garantizar el cumplimiento de los requisitos del RGPD que les incumben. Así pues, esta calificación se deriva del mero hecho de que varias entidades hayan participado en la determinación de los fines y medios del tratamiento.
En definitiva, la calificación de dos entidades como corresponsables del tratamiento no presupone ni la existencia de un acuerdo entre esas entidades sobre la determinación de los fines y medios del tratamiento de los datos personales de que se trate ni la existencia de un acuerdo que establezca los requisitos relativos a la corresponsabilidad conjunta del tratamiento.