Cuando dos organizaciones deciden conjuntamente cómo y por qué se tratan los datos personales, pueden convertirse en corresponsables del tratamiento conforme al RGPD. En ese caso, contar con un acuerdo claro no es opcional: es esencial. Dicho acuerdo debe especificar quién se encarga de los avisos de privacidad, el consentimiento, las solicitudes de los interesados, la seguridad, la respuesta ante brechas de seguridad y el contacto con las autoridades de control.

Responsabilidad bajo el RGPD: qué está realmente en juego

Los riesgos van más allá del papeleo. Las autoridades de control pueden imponer multas de hasta 10 millones de euros (o el 2 % de la facturación global), que pueden ascender a 20 millones de euros (o el 4 %) en caso de infracciones graves. Además, los particulares pueden reclamar una indemnización por daños materiales o inmateriales conforme al artículo 82 del RGPD. Cuando varios responsables comparten la responsabilidad sobre un mismo tratamiento, cada uno puede responder por la totalidad del importe, de modo que la persona afectada reciba una compensación sin demora. La parte que paga puede después reclamar a las demás su contribución, en función de su grado de responsabilidad.

Precisamente por ello, un acuerdo de corresponsabilidad es clave para la distribución interna del riesgo. Debe abordar:

1.     Cómo se reparte la responsabilidad.

2.     Quién paga la indemnización.

3.     Cómo se comparten los costes legales.

4.     Cómo se gestionan las investigaciones regulatorias.

5.     Si se aplican cláusulas de indemnidad.

6.     Los requisitos de seguro.

7.     La cooperación en litigios.

8.     El acceso a las pruebas.

9.     La autoridad para llegar a acuerdos transaccionales.

10.  Las reclamaciones de contribución y recuperación.

El acuerdo no puede eliminar los derechos de los interesados, pero sí puede eliminar la incertidumbre entre las partes.

Responsable vs. Encargado del Tratamiento: la etiqueta no determina el rol

Un error común es asumir que un contrato puede determinar los roles bajo el RGPD simplemente denominando a una parte "responsable" y a la otra "proveedor de servicios". La verdadera prueba es quién decide realmente la finalidad y los medios del tratamiento, evaluado actividad por actividad. La jurisprudencia neerlandesa lo confirma en dos ocasiones.

En el caso DPS v Facebook (ECLI:NL:RBAMS:2023:1407), el tribunal sostuvo que el concepto de responsable del tratamiento es funcional, no contractual. En el asunto ECLI:NL:RBROT:2025:14138, el tribunal confirmó que depender contractualmente de un socio no elimina la responsabilidad propia del responsable del tratamiento.

En definitiva, el acuerdo debe reflejar lo que realmente ocurre, no la etiqueta que las partes prefieran utilizar.

En conclusión

Un acuerdo de corresponsabilidad no es solo papeleo. Es una herramienta de gobernanza que protege a las organizaciones, clarifica la rendición de cuentas y genera confianza. Unos roles claros hoy evitan disputas costosas mañana.