¿Es obligatorio tener delegado de protección de datos? Quién debe nombrarlo y cuánto cuesta
Con el RGPD y la LOPDGDD en la mano: qué entidades deben nombrar un DPD, qué funciones tiene y qué pedir si lo contratas externo.
- El delegado de protección de datos es obligatorio en los casos del artículo 37 del RGPD. También en las entidades que enumera el artículo 34 de la LOPDGDD.
- Puede ser interno o externo, persona física u organización. La certificación del Esquema AEPD-DPD no es obligatoria, pero acredita la cualificación.
- El nombramiento se comunica a la AEPD en 10 días. No designarlo cuando es exigible está tipificado como infracción grave.
El delegado de protección de datos (DPD, o DPO en inglés) asesora a una organización sobre el RGPD y vigila que lo cumpla. Muchas empresas no saben si deben nombrarlo. La respuesta está en dos normas: el artículo 37 del RGPD y el artículo 34 de la Ley Orgánica 3/2018 (LOPDGDD).
Qué es un delegado de protección de datos
Es una figura creada por el RGPD. Asesora al responsable o al encargado del tratamiento y supervisa el cumplimiento. También es el punto de contacto con la Agencia Española de Protección de Datos (AEPD).
No decide qué datos se tratan ni para qué: eso sigue siendo cosa de la empresa. Las directrices europeas sobre el DPD, que publica la AEPD, aclaran que el delegado no es personalmente responsable del incumplimiento. Esa obligación recae en el responsable o en el encargado.
La LOPDGDD le da además un papel en las reclamaciones. Según su artículo 37, el afectado puede dirigirse al DPD antes de reclamar ante la AEPD, y la Agencia puede remitirle reclamaciones para que responda.
¿Es obligatorio tener delegado de protección de datos? Quién debe nombrarlo
Hay dos vías que hacen obligatorio el nombramiento: el RGPD, que se aplica en toda la Unión Europea, y la LOPDGDD, que añade una lista concreta de entidades en España.
Los tres supuestos del artículo 37 del RGPD
- Autoridades y organismos públicos. Cualquiera que trate datos, salvo los tribunales en el ejercicio de su función judicial.
- Observación habitual y sistemática a gran escala. Cuando la actividad principal consiste en seguir a las personas de forma continuada, como programas de fidelización, publicidad comportamental o geolocalización.
- Datos sensibles a gran escala. Cuando la actividad principal es tratar a gran escala categorías especiales de datos (salud, por ejemplo) o datos sobre condenas e infracciones penales.
El RGPD no define «gran escala». Las directrices europeas piden valorar el número de personas, el volumen de datos, la duración y el alcance. Un hospital lo es; un solo médico, no.
Las entidades obligadas por el artículo 34 de la LOPDGDD
La ley española obliga en todo caso a designar un delegado de protección de datos a estas entidades:
- Colegios profesionales y sus consejos generales.
- Centros docentes que impartan enseñanzas regladas en cualquier nivel, y universidades públicas y privadas.
- Operadores de comunicaciones electrónicas que traten datos de forma habitual, sistemática y a gran escala.
- Servicios de la sociedad de la información que elaboren perfiles de usuarios a gran escala.
- Sector financiero. Entidades de crédito, establecimientos financieros de crédito, aseguradoras y reaseguradoras y empresas de servicios de inversión.
- Distribuidores y comercializadores de energía eléctrica y de gas natural.
- Solvencia, fraude e informes comerciales. Responsables de ficheros comunes de solvencia o de prevención del fraude y del blanqueo. También quien emita informes comerciales sobre personas físicas.
- Publicidad y prospección comercial. Entidades de publicidad, prospección comercial e investigación de mercados que traten datos según las preferencias de los afectados o elaboren perfiles.
- Centros sanitarios obligados a conservar historias clínicas. Quedan fuera los profesionales sanitarios que ejerzan a título individual.
- Juego online. Operadores que desarrollen actividades de juego por canales electrónicos, informáticos, telemáticos e interactivos.
- Empresas de seguridad privada.
- Federaciones deportivas cuando traten datos de menores de edad.
Si tu actividad se acerca a alguno de estos supuestos sin encajar del todo, conviene consultarlo antes de descartar el nombramiento.
Qué pasa si no lo nombras
El artículo 73 de la LOPDGDD, en su letra v), considera infracción grave no designar un delegado de protección de datos cuando sea exigible. Las infracciones graves prescriben a los dos años. También es grave no permitir su participación efectiva o interferir en sus funciones (letra w).
El artículo 83.4 del RGPD prevé multas de hasta 10 millones de euros. En empresas, hasta el 2 % de la facturación anual global si es mayor. Son máximos que la AEPD gradúa en cada caso.
Quién no está obligado, pero le conviene tener DPD
El artículo 34.2 de la LOPDGDD permite nombrar un delegado de forma voluntaria, sujeto al mismo régimen que uno obligatorio.
Suele tener sentido en empresas que tratan muchos datos de clientes, captan contactos por su web o manejan datos de salud sin ser centro sanitario. También en negocios que quieren demostrar a sus clientes que se toman en serio la privacidad.
Un DPD no sustituye la seguridad técnica. La protección de datos va de la mano de la ciberseguridad para empresas y de tener la web actualizada con un buen mantenimiento web.
Funciones del delegado de protección de datos
El artículo 39 del RGPD fija las funciones mínimas. El artículo 38 garantiza su independencia: debe tener recursos, no recibe instrucciones sobre sus funciones y no puede ser destituido ni sancionado por ejercerlas.
- 01Informar y asesorarAl responsable, al encargado y a los empleados que tratan datos, sobre sus obligaciones legales.
- 02Supervisar el cumplimientoDel RGPD y de las políticas internas, incluida la asignación de responsabilidades, la formación del personal y las auditorías.
- 03Asesorar sobre evaluaciones de impactoCuando un tratamiento supone un alto riesgo, el DPD orienta y supervisa la evaluación.
- 04Cooperar con la AEPDY actuar como su punto de contacto en cualquier cuestión sobre el tratamiento.
- 05Atender a los interesadosLas personas cuyos datos se tratan pueden dirigirse a él para ejercer sus derechos o plantear dudas.
El artículo 36 de la LOPDGDD añade que puede inspeccionar procedimientos y emitir recomendaciones. Además, accede a los datos sin que se le opongan deberes de confidencialidad.
DPO externo o interno: qué opción encaja
El artículo 37.6 del RGPD permite que el delegado forme parte de la plantilla o que preste el servicio mediante un contrato. Las directrices europeas aclaran que puede ser una persona física o una organización externa, con un contacto principal asignado a cada cliente.
DPD internoEmpleado de la organización
Encaja si tu volumen de tratamientos justifica una persona dedicada y tienes a alguien con formación sólida en la materia.
Ten en cuenta que no puede ocupar un puesto que decida fines y medios del tratamiento, como dirección general, recursos humanos o informática. Y que, según el artículo 36 de la LOPDGDD, solo puede ser removido o sancionado por sus funciones en caso de dolo o negligencia grave.
DPO externoContrato de servicios
Encaja si eres una pyme o una entidad obligada sin perfil interno. También si quieres evitar conflictos de interés con la dirección.
Ten en cuenta que debe conocer tu actividad y estar localizable. El contrato debe aclarar qué incluye y qué dedicación tendrá.
Requisitos del DPD y certificación AEPD-DPD
El RGPD exige elegir al delegado por sus cualidades profesionales y, en particular, por sus conocimientos del Derecho y la práctica en protección de datos.
La ley no exige una titulación concreta. El artículo 35 de la LOPDGDD permite acreditar la cualificación, entre otros medios, mediante mecanismos voluntarios de certificación.
¿Es obligatoria la certificación?
No. La AEPD indica que no es obligatoria para ejercer como DPD. Su Esquema de certificación AEPD-DPD sirve de referencia para comprobar la competencia de un candidato.
Solo certifican las entidades acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17024, cuya lista publica la AEPD. Si vas a contratar un delegado de protección de datos, pedir el certificado es una forma sencilla de comprobar su cualificación.
Cómo se comunica el nombramiento
El artículo 34.3 de la LOPDGDD obliga a comunicar a la AEPD en diez días los nombramientos y ceses, obligatorios o voluntarios. Se hace con un formulario en la sede electrónica de la Agencia. Además, la empresa debe publicar los datos de contacto del DPD, por ejemplo en su política de privacidad.
Cuánto cuesta y qué pedir al contratar un delegado de protección de datos
No hay un precio oficial. El coste de contratar un DPO depende del número de tratamientos, de si hay datos de salud o de menores y de las sedes. También influyen la documentación incluida y la dedicación.
Conviene comparar propuestas por lo que incluyen, no solo por la cifra anual. Antes de firmar, comprueba esto:
- Que el delegado tenga certificación conforme al Esquema AEPD-DPD u otra acreditación de su cualificación.
- Que el servicio incluya la comunicación del nombramiento a la AEPD dentro del plazo de diez días.
- Qué documentación entrega: registro de actividades, cláusulas, contratos con encargados y textos legales de la web.
- Si hay formación para el personal que trata datos y cada cuánto se actualiza la información.
- Cómo atiende las consultas, las solicitudes de derechos y las reclamaciones que remita la AEPD.
Si dudas de si tu actividad entra en algún supuesto, puedes plantearlo desde la página de contacto. El detalle del servicio de delegado de protección de datos externo está en su página.
Preguntas frecuentes
¿Una pyme está obligada a tener delegado de protección de datos?
Depende de su actividad, no de su tamaño. Está obligada si encaja en el artículo 37 del RGPD o en la lista del artículo 34 de la LOPDGDD. Si no, el nombramiento es voluntario.
¿Es obligatorio el delegado de protección de datos para una clínica o un médico?
Los centros sanitarios obligados a conservar historias clínicas deben nombrarlo. La ley exceptúa a los profesionales sanitarios que ejercen a título individual. En casos intermedios, conviene consultarlo.
¿Puede el DPD ser externo a la empresa?
Sí. El artículo 37.6 del RGPD permite contratar un delegado de protección de datos externo mediante un contrato de servicios. Puede ser una persona física o una organización.
¿Hace falta estar certificado para ser DPO?
No. La AEPD indica que la certificación no es obligatoria. El Esquema AEPD-DPD es un mecanismo voluntario que acredita la cualificación del delegado.
¿En cuánto tiempo hay que comunicar el nombramiento del DPD a la AEPD?
En diez días, según el artículo 34.3 de la LOPDGDD. El plazo se aplica también a los ceses y a los nombramientos voluntarios.
¿El DPD responde de las multas si la empresa incumple?
No. Según las directrices europeas que publica la AEPD, el delegado no es personalmente responsable del incumplimiento del RGPD. La responsabilidad es del responsable o del encargado del tratamiento.
Fuentes: Ley Orgánica 3/2018 (BOE) · Reglamento (UE) 2016/679 (EUR-Lex) · AEPD: Delegado de Protección de Datos · AEPD: Certificación de DPD · Esquema AEPD-DPD · Directrices sobre los DPD (WP243)
