No todas las entidades están obligadas a contar con un delegado de Protección de Datos, pero en determinados sectores y actividades su designación no es opcional. Saber cuándo es necesario y qué funciones desempeña realmente es el primer paso para evitar riesgos y gestionar correctamente la información que manejamos cada día. Nuestro equipo de Álvarez Real te lo explican.
¿Tu empresa tiene empleados? ¿Gestiona una base de datos de clientes? ¿Trabaja con información sanitaria, financiera o especialmente sensible? ¿Utiliza herramientas que permiten realizar perfiles de usuarios? ¿Cuenta con cámaras, plataformas digitales o sistemas que monitorizan determinados comportamientos?
Cualquier organización trata datos personales, pero eso no significa que todas necesiten un delegado de Protección de Datos (DPD o DPO). La cuestión está en saber dónde está la línea.
¿Qué es exactamente un delegado de Protección de Datos?
El delegado de Protección de Datos es una figura prevista en el Reglamento General de Protección de Datos (RGPD) cuya misión es ayudar a una organización a garantizar que el tratamiento de los datos personales se realiza de acuerdo con la normativa.
Pero conviene aclarar algo importante, tener un DPD no significa trasladarle toda la responsabilidad en materia de protección de datos, ya que la responsabilidad sobre el cumplimiento continúa correspondiendo a la empresa, como responsable o encargada del tratamiento.
Entre sus principales funciones se encuentran:
- Informar y asesorar a la organización y a sus profesionales sobre sus obligaciones en materia de protección de datos.
- Supervisar el cumplimiento del RGPD y del resto de normativa aplicable.
- Revisar políticas y procedimientos relacionados con el tratamiento de información personal.
- Promover la concienciación y formación de las personas que manejan datos dentro de la organización.
- Asesorar sobre las evaluaciones de impacto relativas a la protección de datos cuando sean necesarias.
- Cooperar y actuar como punto de contacto con la Agencia Española de Protección de Datos (AEPD).
Por tanto, su papel va mucho más allá de preparar documentos, ya que ayuda a incorporar la privacidad a la gestión cotidiana de la organización.
¿Qué organizaciones están obligadas a tener un DPD?
El RGPD establece tres grandes supuestos. La designación es obligatoria cuando el tratamiento lo realiza una autoridad u organismo público; cuando la actividad principal implica una observación habitual y sistemática de personas a gran escala o cuando se tratan a gran escala categorías especiales de datos personales o información relativa a condenas e infracciones penales.
La Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) determina una serie de organizaciones que deben contar, en todo caso, con esta figura.
Entre ellas encontramos, por ejemplo, colegios profesionales y sus consejos generales, centros docentes y universidades, entidades de crédito, aseguradoras y reaseguradoras, determinados centros sanitarios, federaciones deportivas cuando traten datos de menores, empresas de seguridad privada o determinadas entidades que prestan servicios de comunicaciones electrónicas, entre otros.
La clave, por tanto, no está únicamente en el tamaño de la empresa, sino también en qué actividad realiza, qué datos maneja y cómo los utiliza.
Una pyme también puede necesitar un delegado de Protección de Datos
Este es uno de los errores más habituales, pensar que el DPD es una figura reservada a grandes compañías y no es así por ejemplo imagina una pequeña clínica que puede manejar diariamente información sobre la salud de sus pacientes; un centro educativo que gestiona datos de cientos de alumnos, muchos de ellos menores; una empresa digital que monitoriza de manera continuada el comportamiento de sus usuarios.
Por el contrario, una empresa con decenas de trabajadores que desarrolla una actividad convencional y utiliza los datos de clientes y empleados exclusivamente para su gestión habitual puede no estar obligada a designarlo.
El número de trabajadores o la facturación no son, por sí solos, los criterios que determinan esta obligación.
Tener implantado un sistema de protección de datos no es lo mismo que tener un DPD
Otra confusión frecuente es pensar que cumplir con el RGPD y disponer de un Delegado de Protección de Datos son la misma cosa.
Todas las organizaciones que tratan datos personales deben cumplir la normativa de protección de datos, solo determinadas organizaciones tienen, además, la obligación de designar un DPD.
Una entidad puede necesitar políticas de privacidad, cláusulas informativas, contratos con encargados del tratamiento, procedimientos para atender derechos, medidas de seguridad o protocolos ante brechas de datos y, sin embargo, no necesitar formalmente un DPD.
Por eso resulta importante diferenciar entre ambas cuestiones.
¿Puede nombrarse voluntariamente?
Sí, una organización que no está obligada legalmente a contar con esta figura, puede decidir designarla voluntariamente.
Puede ser especialmente interesante en organizaciones que gestionan un volumen importante de información personal, están creciendo, incorporan nuevas tecnologías, desarrollan proyectos digitales o quieren reforzar sus procedimientos internos en materia de privacidad.
¿Tiene que formar parte de la plantilla?
No necesariamente. El Delegado de Protección de Datos puede ser una persona de la propia organización o desempeñar sus funciones mediante un contrato de prestación de servicios externo.
Esta segunda posibilidad puede resultar especialmente útil para pymes y organizaciones que necesitan esta figura pero no cuentan internamente con un profesional especializado o no necesitan una dedicación exclusiva.
Además, debe evitarse cualquier situación de conflicto de intereses. No tendría sentido, por ejemplo, que la misma persona que decide cómo y para qué se utilizan determinados datos tuviera que supervisar después de forma independiente esas decisiones.
Designarlo no es suficiente
Nombrar un delegado de Protección de Datos no debería convertirse en una casilla más dentro de una lista de obligaciones.
Cuando exista un DPD, la organización debe integrarlo adecuadamente en aquellas cuestiones relacionadas con la protección de datos, facilitarle los recursos necesarios para desarrollar sus funciones y garantizar su independencia.
Además, su designación debe comunicarse a la autoridad de protección de datos y hacerse pública por medios electrónicos, de modo que los interesados puedan contactar con él.
La normativa española establece un plazo de diez días para comunicar a la autoridad competente las designaciones, nombramientos y ceses, tanto cuando el DPD sea obligatorio como cuando haya sido designado voluntariamente.
¿Y qué ocurre si mi organización debería tenerlo y no lo tiene?
No nombrarlo cuando resulta obligatorio supone un incumplimiento de la normativa. Pero el riesgo no termina en una posible sanción ya que no contar con esta figura puede significar también que la empresa carezca del asesoramiento necesario para afrontar situaciones cada vez más habituales desde una brecha de seguridad, una reclamación de un cliente, la implantación de una nueva herramienta tecnológica, o un cambio importante en la manera de gestionar los datos.
Y es precisamente ahí donde el DPD adquiere una dimensión que va más allá del cumplimiento formal, ayuda a detectar riesgos antes de que se conviertan en problemas.
Por eso, en Álvarez Real recomendamos revisar periódicamente la situación de cada empresa en materia de protección de datos y analizar si, por su actividad, dimensión o características de los tratamientos que realiza, necesita contar con un delegado de Protección de Datos.
Porque en protección de datos, como en muchas otras áreas de la empresa, anticiparse suele ser mucho más sencillo que solucionar el problema después.
Responsable del área de Patentes y Marcas y de Protección de la Innovación.
