El Reglamento General de Protección de Datos (RGPD) establece en su artículo 37 la obligación de designar un Delegado de Protección de Datos en determinados supuestos. Desde la entrada en vigor del RGPD en mayo de 2018, la AEPD ha impuesto sanciones por la falta de designación cuando la empresa está obligada. Sin embargo, la identificación de cuándo exactamente se aplica esa obligatoriedad no siempre es sencilla.
Los supuestos de obligatoriedad del RGPD
El artículo 37.1 del RGPD establece tres categorías de organizaciones que están obligadas a designar un DPO:
1. Autoridades y organismos públicos
Con independencia de la naturaleza de los tratamientos que realicen, todas las autoridades y organismos públicos deben tener DPO. En el ámbito privado, las empresas que realizan funciones de autoridad pública (como ciertos concesionarios de servicios públicos) también pueden estar en este supuesto.
2. Tratamientos que requieren observación habitual y sistemática a gran escala
Esta categoría aplica a organizaciones cuya actividad principal implica el seguimiento regular de personas: plataformas digitales con publicidad comportamental, empresas de seguros con telemetría, aplicaciones de geolocalización, sistemas de videovigilancia extensa, plataformas de fidelización con perfilado de clientes. La clave es la conjunción de los tres elementos: habitual (no ocasional), sistemático (organizado) y a gran escala.
3. Tratamiento a gran escala de categorías especiales o de datos penales
Son datos de categorías especiales los relativos a salud, origen étnico, creencias religiosas, ideología política, orientación sexual, datos genéticos o biométricos. Las empresas cuya actividad principal implica tratar estas categorías a gran escala —clínicas, aseguradoras de salud, centros deportivos con datos biométricos, empresas de ciberseguridad que acceden a datos de ficheros de delincuentes— deben designar DPO.
La obligatoriedad en la normativa española
La LOPDGDD amplía los supuestos de designación obligatoria en España más allá del RGPD. La normativa española incluye entre los obligados a entidades de crédito, aseguradoras, operadores de telecomunicaciones, centros educativos, colegios profesionales, federaciones deportivas y otras categorías que traten datos de sus miembros o clientes de forma habitual.
Cuándo conviene designar un DPO aunque no sea obligatorio
Aunque la empresa no esté en ninguno de los supuestos obligatorios, la designación voluntaria de un DPO es recomendable cuando:
- La empresa trata datos sensibles aunque no a gran escala (por ejemplo, datos de salud de empleados)
- La empresa realiza transferencias internacionales de datos habituales
- La empresa tiene un perfil de riesgo reputacional elevado en materia de datos
- La empresa opera en sectores con alta litigiosidad en materia de privacidad
- La empresa quiere prepararse para la realización de evaluaciones de impacto (EIPD) de forma habitual
DPO interno vs. DPO externo: cuándo externalizar
El RGPD permite que el DPO sea un empleado de la organización o un profesional externo que preste el servicio en virtud de un contrato. La decisión depende de varios factores:
DPO interno es preferible cuando:
- La organización es grande y tiene un volumen de consultas e incidencias de datos elevado
- Existe ya un equipo legal o de TI con capacidad de absorber el rol
- La dirección valora la disponibilidad inmediata y el conocimiento interno de los procesos
DPO externo es preferible cuando:
- La organización es una pyme sin capacidad de contratar un perfil técnico-jurídico especializado
- Se busca garantizar la independencia del DPO respecto de la dirección (el externo tiene menor conflicto de intereses)
- Se quiere acceso a un equipo con conocimiento actualizado de doctrina de la AEPD y jurisprudencia del TJUE
- La carga de trabajo no justifica una dedicación a tiempo completo
Cómo le ayudamos en BMC
Nuestro servicio de DPO externo incluye la designación formal ante la AEPD, la supervisión continua del cumplimiento del RGPD, la atención a solicitudes de derechos de los interesados, la coordinación de evaluaciones de impacto y la actuación como punto de contacto con la AEPD en caso de inspección o investigación.
Si tiene dudas sobre si su empresa está obligada a designar DPO o quiere revisar la suficiencia del sistema actual de protección de datos, contáctenos para una primera evaluación sin compromiso.
