¿Qué es un Delegado de Protección de Datos (DPD)?

El DPD es un profesional con conocimientos especializados en derecho y, específicamente, en protección de datos. Actúa de manera independiente y está facultado con una serie de funciones establecidas en el artículo 39 del RGPD. Entre sus responsabilidades destacan la de informar, asesorar y supervisar el cumplimiento de la normativa en protección de datos por parte del responsable o encargado de tratamiento de datos.

El Delegado de Protección de Datos es fundamental en el marco del RGPD, actuando como el guardián que garantiza el cumplimiento de la normativa de protección de datos dentro de las organizaciones. Aunque su función no sustituye la supervisión de las autoridades de control, como la Agencia Española de Protección de Datos (AEPD), sí colabora estrechamente con ellas, siendo el enlace directo entre la autoridad y la empresa. Además, desempeña un papel clave al realizar consultas a las autoridades, responder a las solicitudes de los individuos sobre el tratamiento de sus datos personales, y gestionar y asesorar en la respuesta a los diferentes ejercicios de derechos que estos pueden realizar.

¿Quién puede ser DPD?

El DPD puede ser designado por la empres , incluso si no están obligados a hacerlo por ley. Al elegir un DPD, es fundamental tener en cuenta varios aspectos clave:

• Cualificación profesional: aunque no existe una titulación específica, se requieren sólidos conocimientos en derecho y experiencia en legislación de protección de datos. Es esencial un dominio completo de la normativa vigente en materia de protección de datos.
• Conocimientos específicos en protección de datos: el DPD debe comprender profundamente las operaciones de tratamiento de datos de la empresa para abordar eficazmente cualquier desafío.
• Habilidades específicas: destrezas en comunicación, empatía, competencia en idiomas y capacidad para gestionar riesgos son cualidades esenciales para este rol.

¿Cómo realizo el nombramiento?

El proceso de elección del DPD debe seguir los procedimientos internos de la organización, asegurando que los candidatos cumplan con los requisitos establecidos para el puesto. Una vez seleccionado, la empresa debe publicar los datos de contacto del DPD y comunicarlos a las autoridades de control correspondientes, como la AEPD.

Para formalizar el registro, es necesario completar un formulario en la plataforma electrónica de la AEPD con la información de contacto adecuada. Esta plataforma también permite acceder a los datos de contacto de todos los DPD registrados, que están disponibles solo para consulta y no pueden utilizarse para otros fines sin autorización expresa.

¿Cuándo es obligatorio el DPD?

El RGPD establece en su artículo 37.1 que las empresas están obligadas a designar un DPD en los siguientes casos:

1. Cuando el tratamiento de datos lo realiza una autoridad u organismo público, con la excepción de los tribunales que ejercen funciones judiciales.
2. Cuando las actividades principales de la empresa, encargada o responsable del tratamiento implican operaciones de tratamiento que requieren una observación habitual y sistemática de los interesados a gran escala.
3. Cuando las actividades principales del responsable o del encargado consisten en el tratamiento a gran escala de categorías especiales de datos personales, así como de datos relativos a condenas penales o infracciones.

Son categorías especiales de datos aquellos que revelen:

• El origen étnico o racial
• Las opiniones políticas
• Las convicciones religiosas o filosóficas
• La afiliación sindical
• El tratamiento de datos genéticos
• Datos biométricos dirigidos a identificar de manera unívoca a una persona física
• Datos relativos a la salud
• Datos relativos a la vida sexual
• Las orientaciones sexuales de una persona física.

Por otro lado, según el artículo 34.1 de la Ley Orgánica de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD), también están obligadas a designar un DPD las siguientes entidades:

1. Los colegios profesionales y sus consejos generales.
2. Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles, así como las Universidades públicas y privadas.
3. Las entidades que exploten redes y presten servicios de comunicaciones electrónicas cuando traten habitual y sistemáticamente datos personales a gran escala.
4. Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
5. Las entidades de ordenación, supervisión y solvencia de entidades de crédito tales como los bancos, las cajas de ahorros, las cooperativas de crédito y el Instituto de Crédito Oficial.
6. Los establecimientos financieros de crédito.
7. Las entidades aseguradoras y reaseguradoras.
8. Las empresas de servicios de inversión.
9. Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
10. Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
11. Las entidades que hacen publicidad, investigaciones comerciales o elaboran perfiles de personas basados en sus preferencias.
12. Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales que ejerzan su actividad a título individual.
13. Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
14. Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego. Por ejemplo, casinos o casas de apuestas.
15. Las empresas de seguridad privada.
16. Las federaciones deportivas cuando traten datos de menores de edad.

¿Qué ocurre cuando se trata de grupos de empresas?

En grupos empresariales o entidades públicas, se puede designar un solo DPD para todas las entidades del grupo, siempre que sea factible que desempeñe su función de manera efectiva en cada una, teniendo en cuenta su estructura y tamaño.

El responsable del tratamiento de datos debe elegir a su DPD  con la opción de contratar un DPD interno o externo, ya sea un profesional individual o una consultoría especializada en cumplimiento normativo.

Además, los datos de contacto del DPD deben ser comunicados a la Agencia Española de Protección de Datos (AEPD) en un plazo de 10 días.

¿Puedo nombrar un DPD si no tengo obligación?

Sí, incluso si no tienes una obligación legal de designar un DPD, puedes optar por nombrarlo de forma voluntaria. Esta decisión permite aprovechar el conocimiento especializado de un profesional en protección de datos, lo que facilita una gestión más eficaz y un control adecuado de los tratamientos de datos personales.

Un DPD voluntario asume las mismas responsabilidades y funciones que uno designado obligatoriamente, ofreciendo orientación y asesoramiento sobre cualquier consulta o inquietud relacionada con el manejo de datos. Esto garantiza que, sin una exigencia legal, tu empresa pueda contar con un experto dedicado a asegurar la protección adecuada de la información personal, fortaleciendo así las prácticas de privacidad y seguridad de datos.

¿En qué situaciones resulta beneficioso nombrar a un DPD?

Aunque no siempre es obligatorio designar un DPD, su nombramiento puede ser muy beneficioso en diversas situaciones. Por ejemplo, en actividades comerciales convencionales como concesionarios de vehículos, talleres mecánicos, papelerías o panaderías, y en casos como los profesionales de la salud que trabajan de forma individual, no se requiere legalmente un DPD. Sin embargo, tener uno puede aportar ventajas significativas:

• Mayor control y supervisión: el DPD proporciona un mayor control sobre los tratamientos de datos personales, incluso en entidades de menor envergadura que manejan datos regularmente.
• Resolución de dudas y análisis de riesgos: contar con un DPD permite resolver dudas sobre tratamientos planificados, llevar a cabo análisis de riesgos, y realizar evaluaciones de impacto de protección de datos (EIPD), aunque este último no sea una obligación directa del DPD según el RGPD.
• Cumplimiento normativo y certificaciones: tener un DPD asegura un cumplimiento adecuado de la normativa de protección de datos, lo que puede facilitar la obtención de certificaciones y ofrecer asesoramiento personalizado sobre los tratamientos de datos. También puede ayudar en la consulta de dudas a la AEPD.

¿Qué consecuencias tiene no designar un DPD estando obligado?

Para las empresas y organizaciones que están obligadas a designar un DPD según el RGPD y la LOPDGDD, la ausencia de esta figura constituye una infracción grave de la normativa. Las sanciones por no cumplir con esta obligación pueden oscilar entre 40.001 euros y 300.000 euros.

Si necesitas contratar un DPD para tu empresa, en Meridia Legaltech estamos aquí para ayudarte. Contacta con nosotros para obtener el asesoramiento necesario y asegurar la protección de tus datos sin complicaciones.

En Meridia Legaltech, entendemos la importancia que tiene el Delegado de Protección de Datos (DPD) en la organización, con un rol fundamental para garantizar el cumplimiento del Reglamento General de Protección de Datos (RGPD) y proteger los datos personales. Si estás interesado en que tu delegado de protección de datos reciba el asesoramiento que realmente necesita y esté siempre al tanto de las últimas novedades, contacta con nosotros.