Responderán a las obligaciones de protección de datos; el plazo es de 18 meses