I. ¿Cómo se define el Delegado de Protección de Datos?
El Delegado de Protección de Datos (DPD o DPO) es la figura encargada de informar, asesorar y supervisar el cumplimiento de la normativa de protección de datos dentro de una organización, actuando con independencia y como punto de contacto con las autoridades de control. Su régimen jurídico se encuentra principalmente en los artículos 37 a 39 del Reglamento (UE) 2016/679 (RGPD) y, en España, en los artículos 34 a 37 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El DPO puede formar parte de la plantilla de la organización o prestar sus servicios externamente mediante contrato.
Entre sus funciones se encuentran asesorar al responsable o encargado del tratamiento, supervisar el cumplimiento del RGPD y de las políticas internas, participar en las evaluaciones de impacto y cooperar con la Agencia Española de Protección de Datos (AEPD) u otras autoridades competentes.
¿Necesita asesoramiento jurídico o externalizar la figura del Delegado de Protección de Datos? En Administrativando Abogados contamos con profesionales especializados en privacidad y protección de datos que pueden prestar un servicio de DPO externo adaptado a las necesidades de cada organización, orientado al cumplimiento normativo y a la prevención de riesgos y contingencias ante la AEPD.
II. ¿Cuándo es obligatorio nombrar un Delegado de Protección de Datos?
La designación de un Delegado de Protección de Datos (DPD o DPO) es obligatoria en los supuestos previstos en el artículo 37.1 del RGPD y en el artículo 34 de la LOPDGDD.
1. En el sector público: Con carácter general, deben designar un DPO las autoridades y organismos públicos, salvo los tribunales cuando actúen en ejercicio de su función judicial. Esta obligación alcanza, entre otros, a Administraciones Públicas, universidades públicas y demás organismos y entidades públicas sometidos al RGPD.
2. En el sector privado: El nombramiento será obligatorio cuando:
- Las actividades principales impliquen una observación habitual y sistemática de personas a gran escala, como puede ocurrir en determinados tratamientos de monitorización, perfilado o seguimiento continuado.
- Las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos —como datos de salud, genéticos, biométricos, opiniones políticas, afiliación sindical o vida sexual— o de datos relativos a condenas e infracciones penales.
- La entidad pertenezca a alguno de los sectores para los que la LOPDGDD exige expresamente su designación. Entre ellos destacan:
- Colegios profesionales y sus consejos generales.
- Centros docentes y universidades públicas y privadas.
- Determinados operadores de comunicaciones electrónicas y prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala.
- Entidades de crédito, establecimientos financieros de crédito, aseguradoras y reaseguradoras y empresas de servicios de inversión.
- Distribuidores y comercializadores de electricidad y gas natural.
- Entidades dedicadas a la evaluación de solvencia, prevención del fraude o elaboración de informes comerciales.
- Empresas de publicidad y prospección comercial cuando traten datos basados en preferencias o elaboren perfiles.
- Centros sanitarios obligados a mantener historias clínicas, salvo profesionales sanitarios que ejerzan individualmente.
- Operadores de juego online.
- Empresas de seguridad privada.
- Federaciones deportivas cuando traten datos de menores de edad.
¿Tiene dudas sobre si su empresa está obligada a designar un Delegado de Protección de Datos? En Administrativando Abogados analizamos sus actividades de tratamiento para determinar si concurre alguno de los supuestos legales que hacen obligatoria su designación.
Fuera de estos casos, cualquier responsable o encargado del tratamiento puede designar un DPO de forma voluntaria, quedando sometido al mismo régimen jurídico establecido por el RGPD y la LOPDGDD.
III. ¿Qué funciones cumple el Delegado de Protección de Datos?
De acuerdo con el artículo 39 del RGPD, el Delegado de Protección de Datos desarrolla principalmente las siguientes funciones:
- Informar y asesorar al responsable o encargado del tratamiento y a los empleados sobre las obligaciones que impone la normativa de protección de datos.
- Supervisar el cumplimiento del RGPD, de la LOPDGDD y de las políticas internas de privacidad, incluyendo la asignación de responsabilidades, la formación del personal y la realización de auditorías.
- Asesorar y supervisar las evaluaciones de impacto en protección de datos cuando resulten exigibles por el nivel de riesgo del tratamiento.
- Cooperar con la autoridad de control, especialmente con la Agencia Española de Protección de Datos (AEPD), y actuar como punto de contacto ante consultas o requerimientos.
- Atender a los interesados en relación con el tratamiento de sus datos y con el ejercicio de sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.
En definitiva, el DPO actúa como una figura de apoyo y control interno en materia de privacidad, sin sustituir la responsabilidad que corresponde al responsable o encargado del tratamiento.
IV. ¿Quién puede ser Delegado de Protección de Datos?
Podrán ser Delegado de Protección de Datos, las siguientes personas:
- Personas físicas (Profesionales independientes o empleados), es decir, un trabajador de la propia plantilla de la empresa -siempre que no exista conflicto de intereses-, o un profesional autónomo o externo contratado para tal fin.
- Personas jurídicas (Empresas o despachos especializados), es decir, una empresa, consultora, despacho de abogados o entidad especializada en privacidad puede ofrecer servicios de Delegado de Protección de Datos externo. En este caso, la entidad mercantil firma el contrato, pero debe designar formalmente a una persona física dentro de su organización que actúe como interlocutor directo y responsable técnico ante la empresa cliente y la AEPD.
V. ¿Qué requisitos se deben cumplir para ser delegado de protección de datos?
El RGPD no exige un título universitario específico ni una titulación pública obligatoria para ejercer -no es una profesión con numerus clausus o colegiación obligatoria por ley-, pero sí exige por ley que el delegado de protección de datos cuente con cualificaciones rigurosas, como son:
- Conocimientos especializados, debe dominar el Derecho y la práctica en materia de protección de datos -tanto europea como nacional-.
- Comprensión técnica y organizativa: Debe entender cómo funcionan los tratamientos de datos, la seguridad de la información, las medidas técnicas -ciberseguridad, cifrado, copias de seguridad-, y los procesos internos de una empresa.
- Certificación profesional: Aunque la certificación no es un requisito legal obligatorio para trabajar como delegado de protección de datos, -aunque sirve como un aval independiente y de referencia en el mercado-, la AEPD impulsó un Esquema de Certificación de delegado de protección de datos, el cual se ha configurado como el más reconocido y seguro para demostrar que un profesional (jurídico o técnico) posee la idoneidad exigida.
VI. ¿Quiénes no pueden ser Delegados de Protección de Datos?
Tomando en consideración que, para poder ser delegado de protección de datos, el perfil elegido no puede incurrir en conflicto de intereses. Esto significa que no puede ocupar cargos dentro de la misma organización que le obliguen a decidir ¿cómo o para qué se tratan los datos? que luego él mismo tendría que auditar e inspeccionar. Por lo tanto, no podrán ser delegados de protección de datos:
- El Director General, Consejero Delegado o Administrador de la sociedad.
- El Director de Sistemas de Información -ya que diseña la infraestructura técnica donde se almacenan los datos-.
- El Director de Recursos Humanos, -si gestiona directamente el tratamiento de datos de los empleados-.
- El Director de Marketing o Comercial, -si diseña campañas de prospección y perfiles de clientes-.
- El Asesor Jurídico principal de la empresa si defiende o toma decisiones directas sobre la estrategia de tratamientos de datos de la compañía.
VII. ¿Cuáles son las consecuencias de no nombrar un Delegado de Protección de Datos cuando es obligatorio?
No designar un Delegado de Protección de Datos cuando su nombramiento sea obligatorio constituye una infracción grave conforme a la LOPDGDD y puede dar lugar a la adopción de medidas correctoras por parte de la Agencia Española de Protección de Datos (AEPD). Entre estas medidas pueden incluirse requerimientos para subsanar el incumplimiento y, en su caso, la imposición de multas administrativas de hasta 10 millones de euros o, tratándose de una empresa, de hasta el 2 % del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la cuantía que resulte superior, conforme al artículo 83.4 del RGPD.
Además de la sanción económica, el incumplimiento puede generar riesgos reputacionales, pérdida de confianza y mayores dificultades de cumplimiento ante futuras actuaciones de la autoridad de control.
