El nuevo Reglamento General de Protección de Datos (RGPD, o GDPR por sus siglas en inglés) ha hecho que muchas empresas se planteen si deben contratar o no a un Delegado de Protección de Datos (DPD, o DPO por sus siglas en inglés). A continuación te explicamos qué debes saber antes de contratar un DPO para tomar la mejor decisión. Con esta información ahorrarás tiempo y dinero a tu empresa, y maximizarás la inversión en el ámbito de protección de datos.

Exactamente, ¿Qué es un Delegado de Protección de Datos?

La figura del Delegado de Protección de Datos no había sido regulada en España hasta la aparición del nuevo Reglamento General de Protección de Datos. En pocas palabras, un DPO o DPD es un profesional en el ámbito de la Protección de Datos que nos asesora a la hora de cumplir la normativa vigente. Asimismo, también se encarga de supervisar su cumplimiento una vez se ha implementado el RGPD.

¿Necesitas un DPO? Te ayudamos aquí

Por último, un Delegado de Protección de Datos sirve como enlace entre la Agencia Española de Protección de Datos y nuestra empresa. También resulta la figura visible entre la misma y los propios usuarios que proporcionan los datos.

Su figura se encuentra regulada, principalmente, en los artículos 37 y siguientes del RGPD. Te animamos a que los leas ya que son sencillos y nos pueden ayudar a entender esta figura.

¿Qué NO es un Delegado de Protección de Datos?

Un DPD o DPO no pasa a ser el responsable de los datos. Es decir, su contratación no significa automáticamente, salvo que así se exprese en un contrato vinculante, que cualquier incumplimiento de la normativa de protección de datos sea responsabilidad del mismo.

Aunque una empresa tenga un Delegado de Protección de Datos esta sigue siendo la responsable frente al incumplimiento de la normativa vigente. Todo ello sin perjuicio de las acciones que se puedan llevar a cabo contra un DPO por negligencia o, en general, daños y perjuicios.

¿Necesita mi empresa un Delegado de Protección de Datos?

Esa es la pregunta que todo empresario se hace cuando valora la contratación de un Delgado de Protección de Datos. En general, el RGPD establece dos causas por las que una empresa debe contratar un DPD:

1. Cuando las actividades principales de la empresa consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
2. Cuando las actividades principales de la empresa consistan en tratamientos a gran escala de categorías especiales. Entendemos por ‘gran escala’ cuando son muchos los afectados, o bien abarcan un gran porcentaje de la población de una zona.

Esto nos puede hacer pensar en varios casos en los que necesitemos un DPO. Por poner algunos ejemplos, tendríamos los siguientes:

• Una clínica (trata datos especiales) que tiene cierta relevancia en la provincia. Nuestro artículo sobre clínicas y médicos te puede ayudar.
• Un despacho de abogados con cierta envergadura.
• Una correduría de seguros importante en la provincia. Puedes ver más información sobre corredurías de seguros en nuestro artículo hecho al respecto.
• Una empresa que utiliza datos de marketing recogidos mediante el estudio del comportamiento de los usuarios (por ejemplo en páginas web).
• Una empresa que trata datos masivos de la ciudadanía.
• Una empresa que trata muchos datos de desplazamientos de personas.

Como los anteriores se nos pueden ocurrir muchos más casos que cumplan las especificaciones que establece el RGPD.

Excepciones a la necesidad de un Delegado de Protección de Datos

Es importante destacar algunas excepciones que se han ido aclarando tanto por parte de la Agencia Española de Protección de Datos como por otras instituciones relevantes a nivel europeo. En concreto, encontramos dos casos en los que, a pesar de que puede parecer que entran en los supuestos anteriormente citados, no es necesario un Delegado de Protección de Datos.

• Los médicos que tratan datos de pacientes pero que no tienen contratados otros médicos o empleados.
• De igual manera, los datos de clientes tratados por parte de un solo abogado (si tiene contratados otros abogados o empleados no se puede aplicar esta excepción).

¿Necesito contratar un DPO o hay alguna alternativa más barata?

Si ya sabemos que estamos obligados a contratar a un Delegado de Protección de Datos, tenemos la opción de ahorrar mucho dinero si seguimos alguna de estas dos directrices:

• Si somos una empresa que forma parte de un grupo de empresas, podemos contratar a un empleado que haga las labores de Delegado de Protección de Datos en todas las empresas del grupo. Esto está permitido siempre y cuando este DPO esté accesible desde todas las delegaciones.
• Además de la posibilidad de llevar a cabo una contratación laboral con un Delegado de Protección de Datos, el RGPD también permite la contratación mercantil. Es decir, los DPDs no tienen por qué ser internos en la empresa, sino que también está la posibilidad de que sean externos. Así suelen ser mucho más baratos, sobre todo en empresas de menor envergadura.

¿Necesitas un DPO? Te ayudamos aquí

Si mi empresa no está obligada a contratar a un Delegado de Protección de Datos, ¿Por qué debo planteármelo igualmente?

El DPD sirve como indicio, frente a una potencial sanción, de que cumplimos el RGPD. Por tanto, su contratación puede ser interesante desde este punto de vista, sobre todo si tenemos en cuenta que las sanciones pueden alcanzar los 20 millones de euros.

Una empresa que no se encuentra obligada puede contratar, de manera voluntaria, un Delegado de Protección de Datos, de forma que se cubra las espaldas frente a una posible incidencia.

Eso sí, en este caso (si contratamos voluntariamente un DPO) deberemos cumplir con los mismos requisitos que en el caso de empresas obligadas. Aunque no tienes por qué preocuparte, todos los puede llevar a cabo el propio DPO de forma sencilla.

Artículo escrito por Rodrigo Tovar Monge.