La figura del encargado, en términos del artículo 3, fracción IX de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, implica que una persona física o moral, sola o en colaboración con otras, den tratamiento a la información personal a cuenta del responsable, el cual, es la persona física o moral que decide sobre el tratamiento de los datos personales. De lo anterior podríamos suponer que el encargado puede o no tener una relación jurídica de índole laboral con el sujeto obligado de la Ley, pero sí existe un tipo de subordinación con respecto al responsable, pudiendo encuadrar dentro de estos los trabajadores subcontratados, ahora bien, para actualizar esto, debemos partir de la idea de que no existe una cesión de los datos personales a la contratista. En el supuesto de que la contratista fuera la que decidiera sobre el tratamiento de los datos personales de la empresa que contrata sus servicios, es decir fuera el responsable, en este supuesto estaríamos en presencia de una transferencia, que implica la comunicación de datos personales dentro o fuera del territorio nacional, realizada a persona distinta del titular, del responsable o del encargado.

El Dictamen de la Reforma a la Ley Federal de Trabajo, en específico el artículo 15-B señala que ese tipo de regímenes de tercerización deben constar en un contrato por escrito, y agrega en el segundo párrafo, la obligación a la empresa que se beneficia de la subcontratación, de verificar que la contratista cuenta con la documentación y los elementos propios suficientes para cumplir con las obligaciones que deriven de las relaciones con sus trabajadores. Pero a ese contrato de tercerización, en el caso de que esos trabajadores tuvieran algún contacto con datos personales en poder de la empresa, debe agregarse un anexo con diversas cláusulas relativas al tema de protección de datos, con el fin de establecer las responsabilidades que deriven del tratamiento.