El delegado de protección de datos (DPD) es obligatorio para organismos públicos, para quien observa a personas de forma sistemática a gran escala o trata datos sensibles a gran escala (art. 37 RGPD) y para las 16 entidades del art. 34 LOPDGDD, como centros sanitarios, centros educativos o aseguradoras. Puede ser interno o externo y se comunica a la AEPD en 10 días.
El delegado de protección de datos (DPD, o DPO en inglés) es la persona que supervisa que una organización cumple el RGPD y que habla con la Agencia Española de Protección de Datos en su nombre. No todas las empresas tienen que nombrarlo: es obligatorio en los tres casos del artículo 37 del RGPD y en la lista de 16 tipos de entidades del artículo 34 de la LOPDGDD. La mayoría de pymes, autónomos y comercios no están en ninguno de los dos, pero clínicas con varios profesionales, colegios, academias regladas o empresas de seguridad sí.
¿Cuándo es obligatorio según el RGPD?
El artículo 37.1 del RGPD obliga a designar un DPD en tres situaciones:
- Autoridades y organismos públicos, salvo los tribunales en su función judicial. Un ayuntamiento, una consejería o una universidad pública.
- Observación habitual y sistemática de personas a gran escala, cuando esa sea la actividad principal. Por ejemplo, una empresa de seguimiento de flotas, una compañía que hace perfiles publicitarios o un operador de telecomunicaciones.
- Tratamiento a gran escala de datos sensibles (salud, biométricos, origen étnico, religión, vida sexual…) o de datos sobre condenas penales, cuando esa sea la actividad principal. Un hospital o un laboratorio de análisis.
Las dos últimas tienen dos condiciones que van juntas: que sea la actividad principal (no algo accesorio, como las nóminas de los empleados) y que sea a gran escala. El RGPD no pone una cifra para «gran escala». Las directrices europeas sobre el DPD miran el número de personas afectadas, el volumen de datos, cuánto dura el tratamiento y su alcance geográfico. Un fisioterapeuta con su agenda de pacientes no trata datos de salud a gran escala; un hospital, sí.
La lista del artículo 34 de la LOPDGDD
La ley española añade una lista de entidades que tienen que tener DPD «en todo caso», aunque no encajen en el artículo 37 del RGPD. Es esta, completa, tal y como está en el texto consolidado del BOE:
| Letra | Entidades obligadas |
|---|---|
| a) | Colegios profesionales y sus consejos generales |
| b) | Centros docentes que ofrezcan enseñanzas de cualquier nivel de la legislación educativa, y universidades públicas y privadas |
| c) | Operadores de redes y servicios de comunicaciones electrónicas, cuando traten datos de forma habitual y sistemática a gran escala |
| d) | Prestadores de servicios de la sociedad de la información que elaboren a gran escala perfiles de sus usuarios |
| e) | Entidades de crédito (bancos, cajas, cooperativas de crédito) |
| f) | Establecimientos financieros de crédito |
| g) | Aseguradoras y reaseguradoras |
| h) | Empresas de servicios de inversión |
| i) | Distribuidores y comercializadores de electricidad y de gas natural |
| j) | Responsables de ficheros comunes de solvencia (morosos) o de prevención del fraude, incluidos los de prevención del blanqueo de capitales |
| k) | Empresas de publicidad y prospección comercial, incluida la investigación de mercados, cuando traten datos según las preferencias de las personas o hagan perfiles |
| l) | Centros sanitarios obligados a llevar historias clínicas, salvo los profesionales sanitarios que trabajan a título individual |
| m) | Entidades que emitan informes comerciales que puedan referirse a personas físicas |
| n) | Operadores de juego por canales electrónicos (apuestas y casinos en línea) |
| ñ) | Empresas de seguridad privada |
| o) | Federaciones deportivas cuando traten datos de menores |
Los casos que más dudas dan en una pyme
- Clínicas y consultas. Un dentista, psicólogo o fisioterapeuta que trabaja solo, a título individual, está exceptuado. En cuanto hay un centro sanitario con varios profesionales, el DPD es obligatorio. Lo contamos en la página para clínicas.
- Academias. La letra b) habla de centros que imparten enseñanzas de la legislación educativa. Una academia de repaso o de idiomas que no imparte enseñanzas regladas no encaja a primera vista, pero conviene mirarlo caso a caso, sobre todo si trabaja con muchos menores. Más en academias.
- Tiendas online. Vender por internet no obliga por sí solo. Sí obligaría hacer perfiles de usuarios a gran escala (letra d).
- Agencias de marketing. La letra k) alcanza a quien hace publicidad basada en preferencias o perfiles. Una agencia pequeña que solo gestiona redes sociales de clientes normalmente no está ahí, pero una que segmenta bases de datos de personas, sí.
- Despachos profesionales. Una gestoría o un despacho de abogados no está en la lista. El colegio profesional al que pertenecen, sí (letra a).
¿Puede ser alguien de la empresa o tiene que ser externo?
Las dos cosas valen. El artículo 37.6 del RGPD permite que el DPD forme parte de la plantilla o que preste el servicio mediante un contrato. Puede ser una persona física o una empresa, y un grupo empresarial puede tener un único DPD si es fácilmente accesible desde cada centro.
Lo que importa es que cumpla tres condiciones:
- Conocimientos. El RGPD pide conocimientos especializados del derecho y la práctica de protección de datos. No exige un título concreto; la LOPDGDD (art. 35) dice que se puede acreditar, entre otros medios, con certificaciones voluntarias.
- Independencia. No puede recibir instrucciones sobre cómo hacer su trabajo, ni ser despedido o sancionado por hacerlo, y responde ante la dirección (art. 38 RGPD). Si es un empleado, la LOPDGDD solo permite removerlo o sancionarlo por dolo o negligencia grave en sus funciones (art. 36.2).
- Sin conflicto de intereses. Puede tener otras tareas, pero no unas que le hagan decidir para qué y cómo se usan los datos. El gerente o el responsable de informática que diseña los sistemas difícilmente pueden ser, a la vez, quienes los supervisan.
En una pyme obligada, lo habitual es el DPD externo: sale más barato que formar a alguien de dentro y evita el conflicto de intereses.
Qué hace un delegado de protección de datos
El artículo 39 del RGPD fija sus funciones mínimas:
- Informar y asesorar a la empresa y a los empleados que tratan datos sobre sus obligaciones.
- Supervisar que se cumple la normativa y las políticas internas, incluida la formación del personal y las auditorías.
- Asesorar sobre las evaluaciones de impacto y supervisar cómo se aplican.
- Cooperar con la AEPD y ser su punto de contacto, también en la consulta previa.
La LOPDGDD le da dos papeles más. Primero, puede recibir las reclamaciones de los clientes antes de que vayan a la AEPD, y tiene dos meses para comunicarles la decisión (art. 37.1). Segundo, si alguien reclama ante la AEPD, la Agencia puede remitir la reclamación al DPD para que responda en un mes (art. 37.2). Es una vía útil para resolver los problemas antes de que se conviertan en un expediente. Lo explicamos en qué pasa si te denuncian.
Cómo se comunica el nombramiento a la AEPD
El artículo 34.3 de la LOPDGDD obliga a comunicar a la AEPD los nombramientos, designaciones y ceses del DPD en un plazo de diez días, tanto si es obligatorio como si lo has nombrado de forma voluntaria. Se hace con el formulario de la sede electrónica de la AEPD, con certificado electrónico. La AEPD mantiene una lista de delegados accesible por internet.
Además, el artículo 37.7 del RGPD obliga a publicar los datos de contacto del DPD. En la práctica se ponen en la política de privacidad de la web y en las cláusulas informativas: basta con un correo de contacto, no hace falta el nombre de la persona.
¿Y si no estoy obligado? ¿Me conviene tenerlo?
Puedes nombrarlo de forma voluntaria (art. 34.2 LOPDGDD). Pero ten en cuenta que, si lo nombras como DPD, queda sujeto a todo el régimen legal: independencia, comunicación a la AEPD y publicación de sus datos. Si lo que quieres es tener a alguien que te asesore, no hace falta llamarlo delegado: basta con un servicio de consultoría.
No tener DPD tampoco te libra de nada: sigues necesitando el registro de actividades, las cláusulas, los contratos con proveedores y el análisis de riesgos.
¿Qué pasa si debía tenerlo y no lo tengo?
La LOPDGDD califica como infracción grave no designar un DPD cuando es obligatorio (art. 73.v). También es grave no dejarle participar en las cuestiones de protección de datos, no respaldarlo o interferir en su trabajo (art. 73.w). Tienes las cuantías posibles en la guía de multas.
Lista de comprobación: qué hacer esta semana
- Mira si tu actividad está en la tabla del artículo 34. Si lo está, necesitas DPD sí o sí.
- Si no lo está, pregúntate si tu actividad principal consiste en observar a personas o en tratar datos sensibles a gran escala.
- Si te toca, decide si será interno o externo y comprueba que no tiene conflicto de intereses.
- Comunica el nombramiento a la AEPD en diez días.
- Pon su correo de contacto en la política de privacidad y en las cláusulas.
- Apúntalo en el registro de actividades: cada ficha debe recoger los datos del delegado.
En Adapta RGPD te decimos en el diagnóstico gratis si necesitas DPD. Si lo necesitas, el plan «A medida / DPD» se hace con presupuesto, porque depende del tamaño y de los datos que trates. Si no, con los planes de precios cerrados tienes la documentación completa.
Preguntas frecuentes
¿Una pyme tiene que tener delegado de protección de datos?
En general, no. Solo si está en la lista del artículo 34 de la LOPDGDD (centros sanitarios con varios profesionales, centros educativos, aseguradoras, seguridad privada…) o si su actividad principal es observar a personas o tratar datos sensibles a gran escala. El tamaño de la empresa no es lo que decide.
¿Un dentista o un psicólogo autónomo necesita DPD?
No, si trabaja a título individual. La LOPDGDD exceptúa a los profesionales de la salud que ejercen de forma individual, aunque estén obligados a llevar historias clínicas. Un centro con varios profesionales sí está obligado.
¿El delegado de protección de datos puede ser el gerente?
Es difícil. El DPD no puede tener funciones que le lleven a decidir para qué y cómo se usan los datos, porque tendría que supervisarse a sí mismo. Por eso las pymes obligadas suelen contratar un DPD externo.
¿En cuánto tiempo hay que comunicar el DPD a la AEPD?
En diez días desde el nombramiento, según el artículo 34.3 de la LOPDGDD. También hay que comunicar los ceses y cambios. Se hace por la sede electrónica de la AEPD con certificado electrónico.
