Acuerdo de Corresponsables del Tratamiento España
ACUERDO DE CORRESPONSABLES DEL TRATAMIENTO
Joint Controller Agreement
Governed by RGPD (EU) 2016/679 Article 26 and Ley Orgánica 3/2018 (LOPDGDD)
1. JOINT CONTROLLERS (CORRESPONSABLES DEL TRATAMIENTO)
FIRST JOINT CONTROLLER:
Name: [Controller One Name]
NIF/CIF: [Controller One NIF]
Address: [Controller One Address]
DPD Contact: [Controller One DPO]
SECOND JOINT CONTROLLER:
Name: [Controller Two Name]
NIF/CIF: [Controller Two NIF]
Address: [Controller Two Address]
DPD Contact: [Controller Two DPO]
2. JOINT PROCESSING ACTIVITY
The parties jointly determine the purposes and means of the following personal data processing activity, constituting joint controllership within the meaning of Article 26 of the Reglamento General de Protección de Datos (RGPD — Reglamento (UE) 2016/679):
Processing Description: [Processing Description]
Personal Data Categories: [Data Categories]
Data Subjects (Interesados): [Data Subjects]
Processing Purpose(s): [Processing Purpose]
Legal Basis: [Legal Basis], as required by Article 6 RGPD.
Retention Period: [Retention Period]
3. ALLOCATION OF RESPONSIBILITIES
Pursuant to Article 26.1 of the RGPD, the joint controllers hereby determine their respective responsibilities for compliance with RGPD obligations:
Privacy Notice (Arts. 13–14 RGPD): [Privacy Notice Responsibility]
Data Subject Rights Contact Point: [Rights Contact Point]. Notwithstanding this internal allocation, pursuant to Article 26.3 RGPD, data subjects may exercise their rights under Articles 15–21 RGPD against either joint controller.
Security Measures (Art. 32 RGPD): [Security Responsibility]
Data Breach Notification (Art. 33 RGPD): [Breach Notification Responsibility]. The notifying party must notify the Agencia Española de Protección de Datos (AEPD) at aepd.es within 72 hours of becoming aware of a personal data breach.
4. TRANSPARENCY TO DATA SUBJECTS
Pursuant to Article 26.2 of the RGPD, the essence of this arrangement shall be made available to data subjects — including the identity of both joint controllers and the designated contact point for exercising rights — through the privacy policies, cookie policies, and information notices published by each party on their respective digital and physical channels.
5. LIABILITY AND INDEMNIFICATION
Each joint controller is individually liable to data subjects for the full amount of damages caused by the joint processing pursuant to Article 82 of the RGPD and Article 30 of the LOPDGDD. As between the joint controllers, liability for RGPD fines, compensation awards, and AEPD investigation costs shall be allocated in proportion to the extent each party contributed to the violation, as determined by mutual agreement or, failing agreement, by the courts of the jurisdiction agreed herein.
6. GOVERNING LAW
This agreement is governed by the RGPD (EU) 2016/679, Ley Orgánica 3/2018 (LOPDGDD), and Spanish law. The Agencia Española de Protección de Datos (AEPD) is the competent supervisory authority for processing activities affecting data subjects in Spain. Disputes between the joint controllers shall be resolved before the courts of Madrid.
SIGNATURES
Signed in [City], on [Agreement Date].
FIRST JOINT CONTROLLER:
[Controller One Name]
Signature: _________________________ Date: _________________________
SECOND JOINT CONTROLLER:
[Controller Two Name]
Signature: _________________________ Date: _________________________
First Joint Controller
________________
Signature
Second Joint Controller
________________
Signature
Qué es Acuerdo de Corresponsables del Tratamiento España
El Acuerdo de Corresponsables del Tratamiento es, en España, el contrato escrito regulado por Reglamento General de Protección de Datos (UE) 2016/679 art. 26; Ley Orgánica 3/2018 (LOPDGDD), que fija por escrito los derechos y obligaciones recíprocos de las partes y resulta exigible ante los tribunales civiles.
El Artículo 26.1 RGPD establece que cuando dos o más responsables determinan conjuntamente los fines y los medios del tratamiento —corresponsables del tratamiento en español— deben fijar de forma transparente, mediante acuerdo entre ellos, sus responsabilidades respectivas en el cumplimiento de las obligaciones del RGPD. La esencia de la corresponsabilidad radica en la determinación conjunta tanto del porqué (fines) como del cómo (medios) del tratamiento; cuando una parte se limita a prestar un servicio siguiendo las instrucciones de la otra, la relación es de responsable-encargado del tratamiento conforme al Artículo 28 RGPD, no de corresponsables.
El Tribunal de Justicia de la Unión Europea (TJUE) precisó la distinción entre corresponsabilidad y la relación responsable-encargado en resoluciones clave: Asunto C-25/17 (Testigos de Jehová, 2018), Asunto C-210/16 (Wirtschaftsakademie, 2018) —los administradores de páginas de Facebook y Facebook son corresponsables del tratamiento de datos de visitantes— y Asunto C-40/17 (Fashion ID, 2019) —los operadores de sitios web que integran el botón «Me gusta» de Facebook son corresponsables con Facebook en la fase inicial de recogida de datos—. Estas sentencias ampliaron significativamente el concepto de corresponsabilidad y la AEPD las ha aplicado en sus resoluciones sancionadoras.
La AEPD —autoridad supervisora independiente de España constituida conforme al Artículo 36 LOPDGDD, con sede en Calle Jorge Juan 6, 28001 Madrid— ejerce potestades de investigación y corrección sobre los responsables del tratamiento en España conforme a los artículos 57 y 58 RGPD. La AEPD publica guías prácticas sobre corresponsabilidad, entre ellas la Guía sobre las relaciones entre responsable y encargado del tratamiento (2021), que analiza en detalle cuándo las organizaciones son corresponsables frente a cuándo existe una relación responsable-encargado.
Las organizaciones españolas que actúen como corresponsables deben prever en el acuerdo la atención de los derechos de los interesados: acceso, rectificación, supresión (derecho al olvido), limitación, portabilidad y oposición conforme a los artículos 15 a 21 RGPD. Conforme al Artículo 26.3 RGPD, los interesados pueden ejercitar sus derechos frente a cualquiera de los corresponsables con independencia de la asignación interna, lo que hace imprescindible un mecanismo práctico claro para evitar lagunas o duplicidades.
La LOPDGDD, artículos 37 a 42, proporciona el marco nacional español complementario al RGPD en materia de corresponsabilidad, con normas específicas sobre delegados de protección de datos (DPD), designación obligatoria del DPD para autoridades públicas, organizaciones que tratan categorías especiales de datos a gran escala y entidades que tratan datos de antecedentes penales conforme al Artículo 34 LOPDGDD.
Cuándo necesitas Acuerdo de Corresponsables del Tratamiento España
El Acuerdo de Corresponsables del Tratamiento España es obligatorio siempre que dos o más organizaciones determinen de forma independiente los fines y los medios de una actividad de tratamiento de datos personales compartida. La obligación del Artículo 26 RGPD de documentar el acuerdo por escrito existe en cuanto se produce corresponsabilidad de hecho, con independencia de que las organizaciones la reconozcan formalmente.
Se necesita cuando dos empresas de un mismo grupo empresarial comparten datos de RR. HH. de empleados, bases de datos de clientes o sistemas CRM para fines de marketing, analítica u operaciones determinados conjuntamente. Los grupos españoles en que sociedad matriz y filiales comparten infraestructura de datos son corresponsables del tratamiento para las actividades de datos compartidas, aunque la matriz domine la toma de decisiones, según ha confirmado la AEPD en sus resoluciones sancionadoras.
Es necesario cuando una empresa española y una plataforma tecnológica asociada —red social, proveedor de analítica o red publicitaria— determinan conjuntamente los fines del tratamiento de datos de visitantes o usuarios. Tras la sentencia del TJUE en el Asunto Fashion ID (C-40/17, 2019), las empresas españolas que integran tecnologías de seguimiento de terceros (píxeles, cookies, SDK) en sus sitios web son corresponsables con el proveedor tecnológico en la fase inicial de recogida de datos.
Se requiere cuando centros de salud y hospitales españoles participan en sistemas compartidos de historia clínica electrónica operados por Consejerías de Sanidad autonómicas: tanto el prestador sanitario como la autoridad regional de salud determinan conjuntamente los fines del tratamiento de datos de salud y deben documentar sus responsabilidades respectivas.
Es obligatorio cuando administraciones públicas españolas —Ayuntamientos, Diputaciones, Ministerios— comparten datos de ciudadanos con otros organismos públicos a través de plataformas de interoperabilidad reguladas por la Ley 40/2015 de Régimen Jurídico del Sector Público y el Esquema Nacional de Interoperabilidad (ENI — Real Decreto 4/2010). La AEPD ha tratado específicamente los acuerdos de corresponsabilidad entre administraciones en su Informe 0042/2020.
También se precisa cuando instituciones de investigación españolas (universidades, centros de investigación) comparten datos personales en proyectos de investigación en consorcio, ensayos clínicos o estudios epidemiológicos. Los miembros del consorcio que diseñan colectivamente el protocolo de investigación y la metodología de recogida de datos son corresponsables, lo que exige un acuerdo de intercambio de datos conforme al Artículo 26 RGPD junto con la normativa aplicable en materia de ensayos clínicos bajo la Ley 14/2007 de Investigación Biomédica.
Qué incluir en tu Acuerdo de Corresponsables del Tratamiento España
Todo Acuerdo de Corresponsables del Tratamiento España válido conforme al Artículo 26 RGPD y la LOPDGDD debe contener las siguientes disposiciones para satisfacer los requisitos regulatorios y superar el escrutinio de la AEPD en un procedimiento de investigación o reclamación.
Identificación de los corresponsables: nombre legal completo, NIF/CIF, domicilio social y datos de contacto en materia de protección de datos de cada corresponsable; identificación del Delegado de Protección de Datos (DPD) de cada parte, cuando sea designado conforme al Artículo 37 RGPD o sea obligatorio conforme al Artículo 34 LOPDGDD. El punto de contacto del DPD debe publicarse en el sitio web de la organización conforme al Artículo 37.7 RGPD.
Descripción de las actividades de tratamiento conjunto: descripción precisa de la actividad de tratamiento sujeta a corresponsabilidad —categorías de datos personales tratados (datos ordinarios o datos especialmente protegidos conforme al Artículo 9 RGPD), interesados afectados, finalidades del tratamiento, base jurídica conforme al Artículo 6 RGPD y operaciones de tratamiento realizadas por cada parte.
Reparto de obligaciones RGPD: asignación específica entre los corresponsables de las responsabilidades relativas a: (a) confirmación de que existe una base jurídica válida para el tratamiento; (b) facilitación de la información de privacidad a los interesados conforme a los artículos 13 y 14 RGPD; (c) adopción de medidas de seguridad técnicas y organizativas adecuadas conforme al Artículo 32 RGPD; (d) mantenimiento del registro de actividades de tratamiento conforme al Artículo 30 RGPD; (e) realización de Evaluaciones de Impacto en la Protección de Datos (EIPD) conforme al Artículo 35 RGPD cuando sea necesario; y (f) notificación de violaciones de seguridad a la AEPD en 72 horas conforme al Artículo 33 RGPD.
Atención de derechos de los interesados: procedimiento acordado para recibir, tramitar y responder solicitudes de ejercicio de derechos —acceso, rectificación, supresión, limitación, portabilidad y oposición— en el plazo de un mes del Artículo 12.3 RGPD. Debe identificarse el punto de contacto único para los interesados, aunque conforme al Artículo 26.3 RGPD cada corresponsable sigue siendo individualmente responsable con independencia de la asignación interna.
Conservación y supresión de datos: plazos de conservación acordados para cada categoría de datos, alineados con las finalidades del tratamiento y las obligaciones legales aplicables, y procedimiento de supresión o anonimización al término del plazo de conservación.
Transferencias internacionales de datos: cuando se transfieran datos personales fuera del Espacio Económico Europeo (EEE), debe identificarse el mecanismo de transferencia aplicable conforme al Capítulo V RGPD (Cláusulas Contractuales Tipo conforme a la Decisión de Ejecución (UE) 2021/914; decisiones de adecuación; normas corporativas vinculantes) y asignarse la responsabilidad de su aplicación entre los corresponsables.
Responsabilidad e indemnización: asignación interna de la responsabilidad entre los corresponsables por multas administrativas del RGPD e indemnizaciones —las sanciones de la AEPD por infracciones graves (Artículo 83.5 RGPD) alcanzan hasta 20.000.000 € o el 4% del volumen de negocio global anual—. El Artículo 77 LOPDGDD establece procedimientos sancionadores específicos para las administraciones públicas. Debe especificarse el mecanismo de repetición entre corresponsables por las indemnizaciones abonadas a los interesados conforme al Artículo 82 RGPD.
Forms-legal.com ofrece esta plantilla de Acuerdo de Corresponsables del Tratamiento España como punto de partida práctico. Todo acuerdo de corresponsabilidad debe revisarse por un abogado especialista en protección de datos o un DPD con conocimiento de la práctica sancionadora de la AEPD y del contexto específico del tratamiento, ya que la clasificación errónea de las relaciones de corresponsabilidad es un hallazgo recurrente en las investigaciones de la AEPD y puede acarrear sanciones administrativas. La plataforma forms-legal.com ofrece esta plantilla adaptada a la legislación española vigente para facilitar la elaboración de este documento con todas las garantías legales.
Citar esta página
Referencia esta plantilla gratuita en un artículo, programa de estudios o nota de investigación:
Forms Legal. (2026). Acuerdo de Corresponsables del Tratamiento España (España) [Legal document template]. Forms Legal. https://forms-legal.com/es/espana/business/policies/acuerdo-corresponsables-tratamiento-espana
"Acuerdo de Corresponsables del Tratamiento España (España)." Forms Legal, 2026, https://forms-legal.com/es/espana/business/policies/acuerdo-corresponsables-tratamiento-espana.
@misc{formslegal-acuerdo-corresponsables-tratamiento-espana,
author = {{Forms Legal}},
title = {Acuerdo de Corresponsables del Tratamiento España (España)},
year = {2026},
howpublished = {\url{https://forms-legal.com/es/espana/business/policies/acuerdo-corresponsables-tratamiento-espana}},
note = {Free legal document template}
}También disponible para estas jurisdicciones:
Preguntas Frecuentes
La distinción entre corresponsables del tratamiento y la relación responsable-encargado del tratamiento conforme al RGPD (UE) 2016/679 depende de quién determina los fines y los medios del tratamiento. Los corresponsables —regulados por el artículo 26 RGPD— son dos o más organizaciones que determinan conjuntamente tanto el porqué (fines) como el cómo (medios) del tratamiento de datos personales. La relación responsable-encargado —regulada por el artículo 28 RGPD— existe cuando el encargado actúa exclusivamente conforme a las instrucciones documentadas del responsable, sin determinar de forma independiente los fines. El TJUE, en el Asunto C-40/17 (Fashion ID, 2019), confirmó que el operador de un sitio web que integra código de terceros (como plugins de Facebook) es corresponsable con el proveedor del plugin en la fase de recogida de datos. La AEPD aplica esta jurisprudencia del TJUE: en la Resolución PS/00022/2021 halló una relación de corresponsabilidad entre una empresa española y una plataforma de analítica de marketing. La consecuencia práctica: los corresponsables deben formalizar un acuerdo conforme al artículo 26 y compartir las obligaciones del RGPD; la relación responsable-encargado exige un contrato de encargado del tratamiento conforme al artículo 28 con instrucciones vinculantes al encargado. La clasificación incorrecta en cualquier sentido puede acarrear sanciones de la AEPD.
La Agencia Española de Protección de Datos (AEPD) tiene potestad para imponer sanciones administrativas conforme al artículo 83 del RGPD (UE) 2016/679 y la Ley Orgánica 3/2018 (LOPDGDD). El RGPD establece una estructura sancionadora de dos niveles: las infracciones graves (artículo 83.5 RGPD) —incluidas las infracciones de los principios básicos del tratamiento (artículo 5), los requisitos de base jurídica (artículo 6), las normas sobre categorías especiales de datos (artículo 9), las obligaciones de transferencia internacional (Capítulo V) y las órdenes de la autoridad supervisora— conllevan multas de hasta 20.000.000 € o el 4% del volumen de negocio global anual del ejercicio precedente, si esta última cuantía fuera superior. Las infracciones menos graves (artículo 83.4 RGPD) —como el incumplimiento de la obligación de llevar el registro de actividades (artículo 30), de notificar violaciones de seguridad (artículo 33), de realizar EIPD (artículo 35) o las relativas al DPD— conllevan multas de hasta 10.000.000 € o el 2% del volumen de negocio. Los artículos 71 a 74 LOPDGDD clasifican las infracciones en muy graves, graves y leves: las muy graves prescriben a los tres años, las graves a los dos y las leves al año. La mayor sanción impuesta hasta la fecha por la AEPD fue de 8,15 millones de euros contra un gran operador de telecomunicaciones español en 2021, lo que demuestra una aplicación activa tanto frente a multinacionales como frente a pymes.
Conforme al artículo 26.2 del RGPD (UE) 2016/679, los aspectos esenciales del acuerdo entre corresponsables deben ponerse a disposición de los interesados. No es necesario publicar el texto íntegro del acuerdo, pero sí deben comunicarse los aspectos clave relativos a la asignación de responsabilidades en materia de protección de datos y el punto de contacto único designado para los interesados. En la práctica, las organizaciones españolas cumplen este requisito a través de: la política de privacidad de su sitio web, que identifica a los corresponsables y describe el tratamiento compartido; la información básica sobre protección de datos facilitada a los interesados conforme a los artículos 13 y 14 RGPD; y, cuando proceda, la política de cookies que identifica a todos los responsables implicados en tecnologías de seguimiento. La AEPD ha confirmado en sus orientaciones prácticas que los interesados pueden ejercitar sus derechos frente a cualquiera de los corresponsables y que cada corresponsable es individualmente responsable de la totalidad de los daños si un interesado no puede ejercer sus derechos por deficiencias en el mecanismo del acuerdo. La AEPD recomienda que el acuerdo especifique con suficiente detalle el punto de contacto único y el procedimiento de respuesta para que los interesados sepan dónde dirigir sus solicitudes.
La Evaluación de Impacto en la Protección de Datos (EIPD) es obligatoria conforme al artículo 35 del RGPD (UE) 2016/679 cuando una actividad de tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas. La AEPD publicó una lista de tratamientos que requieren EIPD obligatoria en España conforme al artículo 35.4 RGPD, que incluye: tratamiento a gran escala de categorías especiales de datos del artículo 9 RGPD (datos de salud, biométricos, genéticos, políticos, religiosos); videovigilancia sistemática y a gran escala de zonas de acceso público; tratamiento de datos personales de personas vulnerables (menores, pacientes, empleados) a gran escala; scoring crediticio o evaluación sistemática que afecte al acceso a servicios financieros; elaboración de perfiles de personas combinando datos de múltiples fuentes; y uso de tecnologías innovadoras o de inteligencia artificial que afecten a los derechos de los interesados. La guía práctica para las evaluaciones de impacto de la AEPD (2018, actualizada en 2021) proporciona una metodología alineada con las Directrices WP248 del Grupo de Trabajo del Artículo 29 (ahora Comité Europeo de Protección de Datos — CEPD). Cuando la EIPD indique que el tratamiento conlleva un riesgo residual elevado pese a las medidas de mitigación, la consulta previa a la AEPD conforme al artículo 36 RGPD es obligatoria antes de iniciar el tratamiento.
La Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) complementa el marco de corresponsabilidad del RGPD en varios aspectos específicos de España. Delegados de protección de datos: el artículo 34 LOPDGDD amplía las obligaciones de designación obligatoria del DPD más allá de lo previsto en el artículo 37 RGPD; en España, deben designar DPD, entre otras, las entidades de información crediticia, las empresas de publicidad, las agencias de detectives y las empresas que traten a gran escala datos de empleados o clientes por encima de los umbrales del artículo 34. Derechos digitales: el Título X LOPDGDD reconoce derechos digitales específicos: derecho a la desconexión digital en el ámbito laboral (artículo 88), derecho a la intimidad en el uso de dispositivos digitales en el trabajo (artículo 87) y derecho a no ser objeto de decisiones automatizadas, ampliado por el artículo 89 LOPDGDD respecto al artículo 22 RGPD. Sector público: los artículos 77 y 78 LOPDGDD establecen procedimientos sancionadores especiales para las administraciones públicas; no se les puede imponer multas administrativas directamente, pero la AEPD emite resoluciones públicas de apercibimiento y traslada las infracciones graves al Defensor del Pueblo o al defensor autonómico correspondiente. Datos de menores: el artículo 7 LOPDGDD fija la edad de consentimiento digital en 14 años en España (por debajo del máximo de 16 del artículo 8 RGPD), exigiendo el consentimiento verificable de los padres o tutores para tratar datos de menores de 14 años.
La notificación de violaciones de seguridad de datos personales en España se rige por los artículos 33 y 34 del RGPD (UE) 2016/679, siendo la Agencia Española de Protección de Datos (AEPD) la autoridad supervisora competente. Cuando se produzca una violación de seguridad —definida como cualquier destrucción, pérdida, alteración, comunicación no autorizada o acceso no autorizado, accidental o ilícito, a datos personales— los responsables deben notificar a la AEPD en el plazo de 72 horas desde que tengan conocimiento de ella, conforme al artículo 33.1 RGPD, a través del portal de notificación electrónica de la AEPD en aepd.es. La notificación debe incluir: la naturaleza de la violación; las categorías y el número aproximado de interesados y registros afectados; los datos de contacto del DPD; las consecuencias probables; y las medidas adoptadas o propuestas para abordar la violación y mitigar sus efectos. Si la violación puede conllevar un alto riesgo para los interesados —por ejemplo, datos financieros, de salud o sensibles expuestos—, los afectados también deben ser notificados directamente conforme al artículo 34 RGPD sin dilación indebida y en lenguaje claro. En los acuerdos de corresponsabilidad, el acuerdo debe especificar qué parte es responsable de notificar a la AEPD y a los afectados; el incumplimiento del plazo de 72 horas constituye una infracción sujeta a multas de hasta 10.000.000 € o el 2% del volumen de negocio global anual conforme al artículo 83.4 RGPD.
Esta plantilla se proporciona únicamente con fines informativos y no constituye asesoramiento jurídico. Las leyes varían según la jurisdicción y cambian con el tiempo. Consulte a un abogado cualificado para obtener asesoramiento específico para su situación.Aviso legal completo
¿Encontró un error? AvísenosDocumentos Relacionados
También puede encontrar útiles estos documentos:
Préstamo Convertible en Capital España
Contrato de Préstamo Convertible en Capital para España, regulado por la Ley de Sociedades de Capital (RDL 1/2010) artículo 401, que financia startups mediante instrumentos de deuda convertibles en participaciones en una ronda de financiación futura.
Acuerdo de Corresponsalía España
Acuerdo de Corresponsalía para España, regulado por el Código de Comercio artículo 244, que establece relaciones de representación recíproca entre agentes comerciales, despachos de abogados o entidades financieras en distintos territorios.
Acuerdo de Criptoactivos España
Un Acuerdo de Criptoactivos para España — regulado por el Reglamento MiCA (UE) 2023/1114 y la Ley 6/2023 del Mercado de Valores y Servicios de Inversión, estableciendo las condiciones para la prestación de servicios sobre criptoactivos bajo la supervisión de la CNMV.
Acuerdo de Financiación Participativa España
Acuerdo de Financiación Participativa para España — conforme a la Ley 5/2015 de fomento de la financiación empresarial, artículo 46, y al Reglamento ECSPR (UE) 2020/1503, regulando las condiciones de inversión mediante plataformas de financiación participativa (PFP) autorizadas por la CNMV.