No todas las empresas están obligadas a contar con un Delegado de Protección de Datos (DPD), pero algunas sí deben designarlo por las características de su actividad o por el tipo de tratamientos de datos personales que realizan. Esta obligación está recogida en el Reglamento General de Protección de Datos (RGPD) y en la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Conocer los supuestos previstos en ambas normas permite identificar cuándo es necesario contar con esta figura y qué papel desempeña dentro de una organización.
¿Qué es un Delegado de Protección de Datos?
El Delegado de Protección de Datos, también conocido como DPD o DPO por sus siglas en inglés, es una figura encargada de informar, asesorar y supervisar el cumplimiento de la normativa de protección de datos dentro de una organización. Entre sus funciones se encuentran asesorar sobre las obligaciones aplicables, supervisar que se respeten las normas y políticas internas, colaborar en la formación del personal y actuar como punto de contacto con la Agencia Española de Protección de Datos (AEPD).
Su labor ayuda a que la protección de datos se integre en la actividad de la empresa y a que las decisiones relacionadas con el tratamiento de información personal tengan en cuenta las obligaciones correspondientes.
¿Qué empresas están obligadas a designar un DPD?
El artículo 37 del RGPD establece tres supuestos generales en los que es obligatorio designar un Delegado de Protección de Datos:
1. Autoridades y organismos públicos
Cuando el tratamiento de datos personales lo lleva a cabo una autoridad u organismo público, es necesario designar un DPD. La excepción son los tribunales cuando actúan en ejercicio de su función judicial.
2. Observación habitual y sistemática de personas a gran escala
También es obligatorio cuando las actividades principales de la empresa consisten en realizar tratamientos que requieren observar de forma habitual y sistemática a personas a gran escala.
Puede ser el caso de determinadas actividades que implican un seguimiento continuado del comportamiento de las personas, como la monitorización de usuarios a través de servicios digitales.
3. Tratamiento a gran escala de datos especialmente protegidos
La designación también es obligatoria cuando las actividades principales consisten en tratar a gran escala categorías especiales de datos personales, como datos de salud, biométricos o relativos a la orientación sexual, entre otros, o datos personales relativos a condenas e infracciones penales.
En estos supuestos, no basta con que una empresa trate ocasionalmente este tipo de información. Hay que valorar si forma parte de sus actividades principales y si el tratamiento se realiza a gran escala.
¿Qué entidades deben designarlo según la legislación española?
La LOPDGDD amplía los supuestos del RGPD y establece que determinadas entidades deben contar con un Delegado de Protección de Datos por razón de su actividad.
Entre ellas se encuentran:
- Los colegios profesionales y sus consejos generales.
- Los centros docentes de los niveles educativos previstos legalmente y las universidades, tanto públicas como privadas.
- Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
- Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio
- Las entidades de crédito, establecimientos financieros de crédito, aseguradoras y reaseguradoras.
- Las empresas de servicios de inversión.
- Los distribuidores y comercializadores de energía eléctrica y gas natural.
- Las entidades responsables de determinados ficheros comunes de solvencia, crédito y prevención del fraude.
- Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
- Los centros sanitarios legalmente obligados a mantener historias clínicas, con la excepción de los profesionales sanitarios que ejercen individualmente.
- Las entidades cuyo objeto sea emitir informes comerciales que puedan referirse a personas físicas.
- Los operadores de juego a través de canales electrónicos.
- Las empresas de seguridad privada.
- Las federaciones deportivas cuando traten datos de menores de edad.
Por tanto, una empresa debe comprobar si su actividad está incluida en alguno de estos supuestos, aunque no realice tratamientos a gran escala.
¿El tamaño de la empresa determina si necesita un DPD?
Una duda habitual es si existe un número mínimo de trabajadores o una cifra de facturación a partir de la cual sea obligatorio designar un Delegado de Protección de Datos. La normativa no establece un umbral general de empleados o facturación para determinar esta obligación. Lo relevante es analizar la actividad de la empresa, los tratamientos que realiza y si se encuentra en alguno de los supuestos previstos en el RGPD o en la LOPDGDD. Por eso, una empresa pequeña podría estar obligada a designar un DPD si su actividad encaja en alguno de los casos establecidos legalmente. Del mismo modo, una empresa de mayor tamaño no tiene por qué estar obligada únicamente por contar con más trabajadores.
¿Qué funciones tiene un Delegado de Protección de Datos?
El DPD desempeña una función de asesoramiento y supervisión. Entre sus principales responsabilidades se encuentran:
- Informar y asesorar a la organización y a sus trabajadores sobre las obligaciones en materia de protección de datos.
- Supervisar el cumplimiento del RGPD, la LOPDGDD y las políticas internas de protección de datos.
- Promover la concienciación y formación del personal.
- Asesorar sobre las evaluaciones de impacto relativas a la protección de datos y supervisar su realización.
- Cooperar con la autoridad de control y actuar como punto de contacto para las cuestiones relacionadas con los tratamientos de datos personales.
- Atender las consultas de las personas interesadas en relación con el tratamiento de sus datos y el ejercicio de sus derechos.
Para desarrollar estas funciones, debe participar de manera adecuada y oportuna en las cuestiones relacionadas con la protección de datos. La empresa también debe facilitarle los recursos necesarios y garantizar su independencia, evitando posibles conflictos de intereses.
Es importante recordar que designar un DPD no traslada a esta figura toda la responsabilidad sobre el cumplimiento normativo. La responsabilidad sigue correspondiendo al responsable o encargado del tratamiento, según el caso.
¿Puede una empresa contratar un DPD externo?
Sí. El RGPD permite que el Delegado de Protección de Datos forme parte de la plantilla de la empresa o que desempeñe sus funciones mediante un contrato de servicios. Por tanto, no es necesario incorporar a una persona a la plantilla para cumplir con esta obligación. Una empresa puede recurrir a un profesional o entidad externa que reúna los conocimientos especializados y las condiciones necesarias para ejercer estas funciones.
La designación debe atender a sus cualidades profesionales, sus conocimientos especializados en protección de datos y su capacidad para desempeñar las funciones que establece la normativa. Cuando se designa un DPD, la empresa debe publicar sus datos de contacto y comunicarlos a la autoridad de control. En España, la LOPDGDD establece un plazo de diez días para comunicar las designaciones, nombramientos y ceses a la AEPD o a la autoridad autonómica competente.
¿Qué debe hacer una empresa para saber si necesita un DPD?
Para determinar si existe obligación de designar un Delegado de Protección de Datos, conviene revisar varios aspectos:
- Identificar la actividad de la empresa. Comprobar si pertenece a alguno de los sectores o entidades contemplados expresamente en la LOPDGDD.
- Analizar los tratamientos de datos personales. Revisar qué información se recoge, con qué finalidad y qué operaciones se realizan.
- Valorar la escala de los tratamientos. Cuando corresponda, analizar si existe una observación habitual y sistemática de personas o un tratamiento a gran escala de categorías especiales de datos o datos relativos a condenas e infracciones penales.
- Comprobar los supuestos legales. Contrastar la situación de la organización con lo establecido en el artículo 37 del RGPD y el artículo 34 de la LOPDGDD.
Este análisis debe realizarse teniendo en cuenta la actividad real de la empresa y no únicamente su denominación, sector o número de trabajadores.
La importancia de revisar las obligaciones de protección de datos
Conocer si una empresa necesita designar un Delegado de Protección de Datos es una parte más de la revisión de sus obligaciones en materia de protección de datos. Contar con esta figura cuando es obligatorio permite disponer de un profesional que asesore y supervise el cumplimiento dentro de sus competencias. Sin embargo, su designación debe ir acompañada de una gestión adecuada de los tratamientos, medidas organizativas y técnicas, formación y seguimiento.
| ¿Tu empresa está obligada a tener un Delegado de Protección de Datos y todavía no lo tienes? |
Si tu empresa está obligada a contar con un DPD, puedes externalizar esta figura con Procoden, siempre que tengas contratado con nosotros el servicio de LOPDGDD.
Nos encargamos de prestar el servicio de Delegado de Protección de Datos, ofreciendo asesoramiento y supervisión en las cuestiones relacionadas con la protección de datos, dentro de las funciones que establece la normativa.