En el Derecho, la letra pequeña de los contratos y convenios de colaboración nunca es un mero formalismo. Cuando una Administración Pública o una empresa deciden cooperar en un proyecto que implica manejar datos personales de ciudadanos, deben definir con absoluta precisión su rol jurídico. Un error en esta calificación, tal y como demostró el caso de la Xunta de Galicia con la «Tarjeta Familiar», no solo genera una amonestación o una sanción, sino que quiebra la confianza y el principio de transparencia que exige el Reglamento General de Protección de Datos (RGPD).

El caso giró en torno a un programa de beneficios sociales que ofrecía descuentos a familias gallegas a través de una conocida cadena de supermercados. La colaboración, aparentemente bien intencionada, requería que la Administración facilitara datos a la entidad privada para que esta pudiera aplicar los descuentos. La duda legal crucial radicaba en la naturaleza de la relación: ¿actuaba la cadena como simple Encargada del Tratamiento, o como Corresponsable?

La figura del Encargado es un implementador de las indicaciones que recibe. Opera bajo las instrucciones estrictas del responsable, sin capacidad de decisión sobre la finalidad de los datos. Piensen en un servicio de hosting o una gestoría de nóminas: ejecutan un proceso, pero el fin último lo decide la entidad principal.

En contraste, la Corresponsabilidad surge cuando dos o más entidades determinan conjuntamente, aunque sea de forma parcial o implícita, el propósito (los fines) y los medios esenciales de un tratamiento. En el caso gallego, la AEPD interpretó que la entidad privada no solo aplicaba descuentos; también se beneficiaba de forma directa del acceso a una base de datos específica de usuarios para realizar acciones comerciales y fidelizarlos. Esta determinación conjunta de fines y medios, que busca un beneficio mutuo, convierte automáticamente a ambas partes en Corresponsables.

La calificación como corresponsables activó obligaciones que no se habían cumplido. La más importante es la formalización de un acuerdo. El artículo\ 26.1 RGPD exige que los cotitulares pacten de forma clara sus responsabilidades, especialmente en lo relativo a cómo se garantizan los derechos del ciudadano (acceso, rectificación, supresión, etc.). La ausencia de este acuerdo deja al interesado en una peligrosa situación de incertidumbre legal, sin saber exactamente a quién dirigirse o quién asume el riesgo por un tratamiento indebido.

A esta omisión se añade el incumplimiento de la transparencia (artículo 5.1.a RGPD). Si una persona se adhiere a un programa, debe ser informada de manera precisa y accesible no solo de quién trata sus datos, sino de que existe una relación de cotitularidad y de la esencia del acuerdo entre las partes. La falta de esta información clara supone, a efectos prácticos, que el consentimiento o la licitud del tratamiento quedan viciados.

La lección de este caso, aplicable a cualquier sector, es una invitación a la introspección jurídica. El Derecho de la privacidad mira la realidad del tratamiento, no solo las etiquetas que se le ponen en los documentos. Si al colaborar con un tercero existe una voluntad de obtener un beneficio conjunto o de influir en la lógica del tratamiento, la relación es de corresponsabilidad. Asumir este rol de forma preventiva, formalizando el acuerdo exigido y garantizando la máxima transparencia, es el único camino para asegurar la licitud y evitar las consecuencias negativas derivadas de una calificación errónea.