El delegado de protección de datos (DPD, o DPO por sus siglas en inglés) es la persona que asesora a la empresa en protección de datos, supervisa que cumpla la normativa y actúa como interlocutor con la Agencia Española de Protección de Datos (AEPD) y con las personas cuyos datos se tratan.
Para muchas empresas no es opcional: si su actividad está en la lista de obligados, deben nombrarlo y comunicarlo a la AEPD. Y también hay empresas que, sin estar obligadas, tienen buenas razones para contar con uno. Te explicamos quién debe nombrarlo, qué requisitos debe cumplir y por qué la opción más segura suele ser un DPD externo.
Quién está obligado a nombrar un delegado de protección de datos
Según el Reglamento general de protección de datos
El artículo 37 del Reglamento obliga a nombrar DPD, tanto a quien decide sobre los datos (responsable) como a quien los trata por encargo de otro (encargado), en estos casos:
- Las autoridades y organismos públicos.
- Las empresas cuya actividad principal consista en observar de forma habitual y sistemática a personas a gran escala, como el seguimiento de comportamiento en internet o determinados sistemas de videovigilancia.
- Las empresas cuya actividad principal consista en tratar a gran escala datos sensibles (salud, biométricos, etc.) o datos sobre condenas e infracciones penales.
No hay una cifra fija de «gran escala»: depende del número de personas, del volumen de datos, de la duración y del alcance geográfico. Equivocarse en esta valoración es uno de los errores más habituales. Si tienes dudas, te ayudamos a comprobarlo.
Según la Ley Orgánica de Protección de Datos
Para dar más seguridad, el artículo 34 de la ley española concreta una lista de entidades que, como responsables o como encargadas, deben nombrar DPD en todo caso, con independencia de su tamaño:
- Colegios profesionales y sus consejos generales.
- Centros docentes de cualquier nivel y universidades.
- Operadores de comunicaciones electrónicas que traten datos a gran escala.
- Prestadores de servicios de la sociedad de la información que elaboren perfiles de usuarios a gran escala.
- Entidades de crédito, establecimientos financieros de crédito, aseguradoras y reaseguradoras y empresas de servicios de inversión.
- Distribuidoras y comercializadoras de electricidad y gas natural.
- Entidades responsables de ficheros comunes de solvencia o de prevención del fraude, incluidos los ficheros regulados por la normativa de prevención del blanqueo de capitales. Esto no obliga por sí solo a cada sujeto de la ley de blanqueo (abogados, inmobiliarias, asesores…) a nombrar DPD: cada caso debe analizarse según su actividad.
- Empresas de publicidad, prospección e investigación comercial que traten datos basados en preferencias o elaboren perfiles.
- Centros sanitarios obligados a mantener historias clínicas, salvo los profesionales que ejercen a título individual.
- Entidades que emitan informes comerciales sobre personas físicas.
- Operadores de juego online.
- Empresas de seguridad privada.
- Federaciones deportivas cuando traten datos de menores.
Las empresas no obligadas pueden nombrarlo voluntariamente. Es frecuente en empresas que tratan muchos datos de clientes o empleados, que trabajan como proveedoras de entidades obligadas (que a menudo lo exigen en sus contratos) o que quieren demostrar diligencia ante una inspección. Si se nombra, aunque sea de forma voluntaria, se aplican las mismas reglas que al obligatorio.
Una vez designado, el nombramiento, y también su cese, debe comunicarse a la AEPD (o a la autoridad autonómica que corresponda) en el plazo de diez días, y los datos de contacto del DPD deben publicarse para que cualquier persona pueda dirigirse a él. No nombrarlo cuando es obligatorio es una infracción grave, con multas que pueden llegar a 10 millones de euros o al 2 % de la facturación anual.
Requisitos y funciones del DPD
El DPD debe tener conocimientos especializados en Derecho y práctica de protección de datos y ejercer sus funciones con independencia. Sus funciones principales son:
- Informar y asesorar a la empresa y a su plantilla sobre sus obligaciones.
- Supervisar el cumplimiento: políticas, formación, auditorías y reparto de responsabilidades.
- Asesorar en las evaluaciones de impacto, por ejemplo antes de implantar cámaras con inteligencia artificial.
- Cooperar con la AEPD y ser su punto de contacto.
- Atender a las personas que ejercen sus derechos o presentan una reclamación. Si la persona lo elige, antes de acudir a la AEPD puede dirigir su reclamación al DPD, que debe responderle en dos meses.
Qué aporta un delegado de protección de datos externo
El Reglamento permite que el DPD sea un empleado o un profesional externo con un contrato de servicios. En la práctica, nombrar a alguien de dentro plantea varios problemas:
- Conflicto de intereses. El DPD no puede supervisarse a sí mismo. Gerentes, responsables de informática, de recursos humanos o de marketing suelen decidir sobre los tratamientos de datos, y por eso no son buenos candidatos.
- Formación especializada y actualizada. La normativa y los criterios de la AEPD cambian continuamente, y el DPD debe estar al día para asesorar bien a la empresa.
- Independencia real. No puede recibir instrucciones sobre cómo ejercer sus funciones ni ser despedido o sancionado por desempeñarlas, salvo dolo o negligencia grave, lo que complica la relación laboral si es empleado.
- Tiempo y recursos. Las funciones de DPD exigen dedicación y medios que la empresa debe garantizar.
- Gestión de crisis. Ante una brecha de datos o una inspección, hace falta experiencia y respuesta inmediata.
Un DPD externo resuelve estos problemas: aporta independencia, conocimientos especializados y experiencia con otras empresas del sector, con un coste fijo y previsible, sin tener que formar ni liberar a nadie de tu plantilla. Además, la ley permite que el DPD sea una persona jurídica, como un despacho especializado.
Tu delegado de protección de datos externo en Unojuridica
En Unojuridica actuamos como delegado de protección de datos externo para empresas de toda España:
- Comprobamos si tu empresa está obligada a nombrar DPD.
- Asumimos el cargo y gestionamos su comunicación a la AEPD.
- Revisamos tu cumplimiento y te asesoramos de forma continua.
- Atendemos las solicitudes de derechos, las reclamaciones y la relación con la AEPD.
- Te acompañamos en evaluaciones de impacto, brechas de datos e inspecciones.
Desde nuestra oficina en Valladolid trabajamos con empresas de toda España. Escríbenos desde nuestra página de contacto, a unojuridica@unojuridica.com o llámanos al 983 099 435 y te explicamos cómo trabajamos.
Fuentes: Reglamento (UE) 2016/679, arts. 37 a 39 y 83; Ley Orgánica 3/2018, arts. 34 a 37 y 73.
