1. ¿Qué es un Delegado de Protección de Datos?
El Delegado de Protección de Datos, conocido como DPD —o DPO por la denominación inglesa Data Protection Officer—, es una figura especializada que informa y asesora a una organización sobre sus obligaciones en materia de protección de datos.
Su papel no consiste únicamente en revisar documentos. Debe participar adecuadamente y en tiempo oportuno en las cuestiones relacionadas con la protección de datos, supervisar el cumplimiento y servir como punto de contacto para los interesados y para la autoridad de control.
Es especialmente relevante en organizaciones que realizan tratamientos complejos, sistemáticos, de gran escala o capaces de afectar significativamente a los derechos y libertades de las personas.
El DPD asesora y supervisa, pero no sustituye al responsable del tratamiento.
La empresa continúa siendo responsable de adoptar las decisiones necesarias y de poder demostrar el cumplimiento.
2. ¿Cuándo es obligatorio nombrar un DPD?
El artículo 37 del Reglamento General de Protección de Datos establece varios supuestos en los que el responsable y el encargado del tratamiento deben designar un Delegado de Protección de Datos.
Autoridades u organismos públicos
Las autoridades y organismos públicos deben contar con DPD, con la excepción prevista para los tribunales cuando actúan en el ejercicio de su función judicial.
Observación habitual y sistemática a gran escala
Existe obligación cuando las actividades principales del responsable o encargado consisten en operaciones que requieren una observación habitual y sistemática de interesados a gran escala.
Para valorar la escala no debe atenderse solo al tamaño de la empresa. Son relevantes el número de afectados, el volumen y variedad de datos, la duración del tratamiento y su extensión geográfica.
Categorías especiales de datos y datos penales
También se exige DPD cuando las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos o de datos personales relativos a condenas e infracciones penales.
Entre las categorías especiales se encuentran, en los términos del RGPD, datos relativos a la salud, determinados datos biométricos y genéticos y otras informaciones especialmente protegidas.
3. Entidades obligadas por la LOPDGDD
En España, además de los supuestos generales del RGPD, el artículo 34 de la Ley Orgánica 3/2018 identifica determinados responsables y encargados que deben designar un Delegado de Protección de Datos.
La relación legal comprende diferentes sectores y actividades. Por ello, no es recomendable decidir si existe obligación únicamente por intuición, por el número de trabajadores o por el volumen de facturación.
Entre los ámbitos contemplados por la normativa española aparecen, bajo los términos establecidos legalmente, determinadas entidades educativas, operadores de comunicaciones, prestadores de servicios de la sociedad de la información cuando realizan ciertas actividades, entidades financieras, aseguradoras, centros sanitarios y otras organizaciones vinculadas a tratamientos relevantes de información personal.
No aparecer expresamente en una lista no significa automáticamente que una empresa no necesite DPD.
Deben comprobarse también los criterios generales establecidos por el artículo 37 del RGPD.
4. ¿Qué funciones tiene el Delegado de Protección de Datos?
El artículo 39 del RGPD establece sus funciones mínimas. Entre ellas se encuentra informar y asesorar al responsable o encargado y a los trabajadores que participan en tratamientos de datos sobre las obligaciones aplicables.
También supervisa el cumplimiento de la normativa y de las políticas internas. Esta supervisión puede comprender la asignación de responsabilidades, la concienciación y formación del personal y las auditorías relacionadas con protección de datos.
Otra función relevante es ofrecer asesoramiento sobre las Evaluaciones de Impacto en Protección de Datos cuando sean necesarias y supervisar su aplicación. Puedes ampliar esta materia en nuestra guía sobre Evaluaciones de Impacto.
Además, coopera con la autoridad de control y actúa como punto de contacto para las cuestiones relativas al tratamiento.
5. ¿El DPD debe ser interno o puede ser externo?
El Reglamento permite ambas posibilidades. El Delegado de Protección de Datos puede formar parte de la plantilla o desempeñar sus funciones mediante un contrato de servicios.
La elección dependerá de la estructura de la entidad, el volumen y complejidad de los tratamientos, los recursos disponibles y la necesidad de conocimientos especializados.
Un servicio externo puede ser especialmente útil para organizaciones que necesitan supervisión especializada continuada sin incorporar un puesto específico a su estructura. En cualquier modalidad debe garantizarse que el DPD pueda cumplir efectivamente sus funciones.
6. Independencia y posición del DPD
La independencia es una garantía fundamental. La organización debe garantizar que el DPD participe adecuadamente en todas las cuestiones relacionadas con la protección de datos y facilitarle los recursos necesarios.
No debe recibir instrucciones respecto al desempeño de sus funciones como DPD y debe poder informar al más alto nivel jerárquico de la organización.
También deben evitarse conflictos de intereses. Una persona puede asumir otras funciones, pero estas no deben situarla en una posición en la que determine los fines y medios de los tratamientos que posteriormente tendría que supervisar.
7. Comunicación del nombramiento y datos de contacto
La designación no termina con la firma de un contrato o acuerdo interno. La organización debe integrar efectivamente al DPD dentro de su sistema de cumplimiento.
Sus datos de contacto deben comunicarse a la autoridad de control conforme a la normativa aplicable y facilitarse para que los interesados puedan contactar con él en cuestiones relacionadas con el tratamiento y el ejercicio de sus derechos.
Internamente conviene establecer cómo se trasladarán al DPD consultas, proyectos, incidencias, brechas de seguridad y cambios que puedan afectar a los tratamientos.
8. ¿Puede nombrarse un DPD aunque no sea obligatorio?
Sí. Una organización puede decidir voluntariamente contar con un Delegado de Protección de Datos aunque no se encuentre dentro de los supuestos de designación obligatoria.
Puede resultar conveniente cuando realiza numerosos tratamientos, gestiona información especialmente sensible, desarrolla proyectos tecnológicos complejos o desea disponer de supervisión especializada y continuada.
El nombramiento voluntario no debe utilizarse solo como denominación comercial. Cuando se designa formalmente un DPD deben respetarse las disposiciones aplicables a su posición, funciones e independencia.
9. Errores frecuentes relacionados con el DPD
Nombrar a una persona sin comprobar conflictos de intereses
No basta con asignar el cargo a cualquier persona. Debe analizarse si sus otras responsabilidades pueden interferir con la independencia necesaria para supervisar los tratamientos.
No involucrarlo en nuevos proyectos
El DPD debe participar en tiempo oportuno. Consultarlo cuando una herramienta, campaña o tratamiento ya está implantado reduce considerablemente la utilidad de su asesoramiento.
Considerar que asume toda la responsabilidad
La existencia de un DPD no traslada a esta figura las obligaciones del responsable o encargado. La dirección debe continuar tomando decisiones, asignando recursos y aplicando medidas.
No facilitar recursos suficientes
Necesita acceso a la información relevante, tiempo, medios y apoyo de la organización. Un nombramiento puramente formal no garantiza el cumplimiento.
10. ¿Cómo saber si tu empresa necesita un DPD?
El análisis debe comenzar identificando la actividad de la organización y los tratamientos que constituyen sus actividades principales. Después debe comprobarse si existe un supuesto específico de designación obligatoria y valorar escala, sistematicidad, categorías de datos y características de los tratamientos.
Resulta especialmente útil disponer de un Registro de Actividades de Tratamiento actualizado y de un análisis de riesgos coherente con la realidad de la organización.
Cuando existan dudas, conviene documentar el análisis realizado. Poder justificar por qué se considera obligatorio o no el nombramiento forma parte de una gestión responsable del cumplimiento.
Conclusión
El Delegado de Protección de Datos es una figura especializada cuya designación resulta obligatoria en determinados supuestos establecidos por el RGPD y la legislación española. Su necesidad no depende únicamente del tamaño de la empresa, sino especialmente de la naturaleza y características de los tratamientos.
En LIRO Consultoras podemos analizar los tratamientos de tu organización y ayudarte a determinar las obligaciones aplicables. Consulta nuestro servicio de Protección de Datos para empresas.