Diferencia entre responsable y encargado de tratamiento
Actualizado el
El responsable del tratamiento es quien decide para qué y cómo se tratan los datos personales; el encargado solo los trata siguiendo las instrucciones del responsable, sin usarlos para fines propios. Un ejemplo chileno: su empresa (responsable) contrata un CRM en la nube o una empresa de cobranza (encargado) para gestionar datos de clientes. La distinción importa porque las obligaciones son distintas: el responsable define la base de licitud, responde ante los titulares por sus derechos ARCOP y notifica las brechas; el encargado debe seguir las instrucciones, guardar confidencialidad, aplicar seguridad y no subcontratar sin autorización. La Ley 21.719 exige, además, que la relación conste por escrito en un contrato de encargo o DPA. Identificar bien su rol en cada tratamiento es el paso previo para saber qué contratos debe firmar antes del 1 de diciembre de 2026.
La Ley 21.719 distingue al responsable de datos, que decide los fines y medios del tratamiento, del encargado, que trata los datos por cuenta del responsable y conforme a sus instrucciones, relación que debe constar en un contrato de encargo.
La diferencia, en una frase
El responsable es quien decide. Define la finalidad (para qué se usan los datos) y los medios esenciales (cómo, con qué herramientas, por cuánto tiempo). El encargado ejecuta. Trata los datos por cuenta del responsable y solo hace lo que este le instruye.
La prueba práctica es simple: si su empresa puede decidir sola por qué recolecta un dato y qué hace con él, es responsable de ese tratamiento. Si un tercero solo procesa datos que usted le entrega, bajo sus reglas, ese tercero es su encargado.
Qué dice cada definición
La Ley 21.719 distingue los dos roles con claridad. No son sinónimos y no se eligen: se determinan por lo que cada parte realmente hace con los datos.
- Responsable del tratamiento: persona natural o jurídica, pública o privada, que decide sobre los fines y medios del tratamiento. Es el titular del deber de cumplir la ley frente a las personas cuyos datos trata.
- Encargado del tratamiento: quien trata datos personales por cuenta del responsable, siguiendo sus instrucciones y sin usarlos para fines propios. Típicamente es un proveedor de servicios.
Un ejemplo chileno concreto
Una distribuidora en Santiago usa un CRM en la nube (un SaaS extranjero, por ejemplo) para gestionar sus clientes. La distribuidora decide qué datos carga, para qué campaña los usa y cuándo los borra: es la responsable. El proveedor del CRM almacena y procesa esos datos en sus servidores, pero no puede usarlos para nada propio: es el encargado.
El mismo patrón se repite en casi toda empresa: el software de remuneraciones, el proveedor de correo masivo, la plataforma de tickets de soporte, la agencia que corre sus anuncios. Todos suelen ser encargados. Y aquí aparece el problema real más frecuente en Chile: muchas empresas tienen decenas de estos proveedores y ningún contrato de encargo firmado con ellos. Puede confirmar este y otros puntos en nuestros hechos verificados de la Ley 21.719.
Qué obligaciones tiene cada uno
Los dos roles responden ante la ley, pero por cosas distintas.
- El responsable define finalidad y base de licitud, informa a los titulares, atiende sus derechos (acceso, rectificación, supresión, oposición y portabilidad), lleva el registro de actividades de tratamiento (RAT) y elige encargados que den garantías suficientes.
- El encargado solo trata datos según las instrucciones documentadas del responsable, aplica medidas de seguridad, guarda confidencialidad, no subcontrata sin autorización y, al terminar el servicio, devuelve o elimina los datos.
- Ambos comparten un piso común: seguridad de la información y la obligación de que la relación conste por escrito. Ninguno puede tratar datos sensibles (en Chile eso incluye la situación socioeconómica) sin la base legal correcta.
| Dimensión | Responsable | Encargado |
|---|---|---|
| Rol | Decide fines y medios | Trata por cuenta del responsable |
| Base de licitud | La define | No la define |
| Derechos ARCOP | Responde al titular | Asiste al responsable |
| Brechas | Notifica | Avisa al responsable |
| Ejemplo | Su empresa | CRM, nube, cobranza |
Por qué importa para los contratos
Distinguir bien los roles no es un ejercicio teórico. Determina quién firma qué. Cada vez que su empresa (responsable) entrega datos personales a un proveedor (encargado), la Ley 21.719 exige un contrato de encargo de tratamiento, conocido como DPA. Ese contrato fija las instrucciones, la seguridad, la confidencialidad y qué pasa con los datos al terminar.
Sin ese contrato, usted como responsable sigue respondiendo por lo que haga el proveedor con los datos, pero sin control formal sobre él. Por eso el DPA es la pieza que ordena la relación. Si quiere entender cómo se estructura, revise el contrato de encargo o DPA; si necesita cerrar los que le faltan antes del 1 de diciembre de 2026, vea el pack de remediación de DPA. En estos temas trabajamos junto a su asesor legal, no lo reemplazamos.
Preguntas frecuentes
¿Puede una empresa ser responsable y encargado a la vez?
Sí, pero en tratamientos distintos. Su empresa es responsable de los datos de sus propios clientes y trabajadores. Y puede ser encargada cuando procesa datos de un cliente por cuenta de este, siguiendo sus instrucciones. El rol se define tratamiento por tratamiento, no de forma global.
¿El proveedor SaaS es siempre encargado?
Casi siempre, cuando solo procesa los datos que usted le entrega bajo sus reglas. Deja de serlo si empieza a usar esos datos para fines propios (por ejemplo, entrenar sus modelos o vender información). En ese caso pasa a decidir sobre los datos y actúa como responsable, con sus propias obligaciones.
¿Necesito un contrato de encargo con cada proveedor?
Con cada proveedor que trate datos personales por cuenta suya, sí. La Ley 21.719 exige que la relación responsable-encargado conste por escrito. La falta de estos contratos con proveedores SaaS es la brecha más común hoy en Chile, más que la política de privacidad del sitio web.
¿Qué pasa si no distingo bien los roles?
Puede terminar sin los contratos que la ley exige o asignando mal las obligaciones. Como responsable, usted sigue respondiendo frente a las personas cuyos datos trata, incluso por lo que haga un encargado sin contrato. Ordenar los roles y firmar los DPA correspondientes cierra esa exposición.