Responsable del tratamiento

El responsable del tratamiento es, según el artículo 4.7 del RGPD, la persona física o jurídica, autoridad pública o entidad que determina los fines y los medios con los que se tratan los datos personales. Es la figura contra la que se ejercen directamente los derechos de acceso, rectificación, supresión y oposición, y a quien la AEPD dirige sus resoluciones y, en su caso, sanciones.

Cómo funciona

El responsable fija el "qué" y el "cómo" del tratamiento: decide qué datos se recogen, con qué finalidad, durante cuánto tiempo y con qué medidas de seguridad. No es lo mismo que el encargado del tratamiento, que es quien trata los datos por cuenta del responsable siguiendo sus instrucciones. Un acreedor que aporta una deuda a un fichero de solvencia es responsable; una empresa externa contratada para digitalizar expedientes del acreedor es encargada.

Cuando dos o más entidades determinan conjuntamente los fines y medios, el art. 26 RGPD los considera corresponsables. Deben acordar entre ellas el reparto de obligaciones y ponerlo a disposición del afectado. En ese supuesto, el ejercicio de derechos puede dirigirse a cualquiera de los corresponsables, con idéntica eficacia.

Marco legal

En los ficheros de solvencia españoles, la regla de corresponsabilidad está expresamente recogida en el art. 20.2 LOPDGDD: "las entidades que mantengan el sistema común de información crediticia y los acreedores que aporten los datos tendrán la condición de corresponsables del tratamiento". En la práctica eso convierte en corresponsables, por un lado, a Equifax o Experian —gestores de ASNEF y BADEXCUG— y, por otro, al banco, fintech, telco o suministrador que comunicó la deuda. La STJUE de 29 de julio de 2019 (asunto C-40/17, Fashion ID) confirmó que la corresponsabilidad no se distribuye por cuotas sino por ámbitos funcionales: cada corresponsable responde por la parte que controla efectivamente (a fecha 2026-04-17).

Tus derechos

Frente a un corresponsable, el afectado puede ejercer cualquier derecho reconocido por el RGPD y la LOPDGDD. La solicitud se dirige por escrito con copia del DNI y surte efecto frente a todos los corresponsables. El plazo de respuesta es de un mes, prorrogable otros dos en supuestos complejos. Si el responsable no atiende la solicitud o la rechaza sin motivación, cabe tutela de derechos ante la AEPD, cuya resolución obliga al responsable y puede abrir procedimiento sancionador independiente.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), artículos 4.7, 24 y 26 — recuperado 2026-04-17
• Ley Orgánica 3/2018 (LOPDGDD), artículo 20.2 — recuperado 2026-04-17