El Delegado de Protección de Datos (DPO) es el encargado de velar por el cumplimiento de la normativa de protección de datos dentro de una organización. Esta figura fue introducida por el RGPD y la LOPDGDD y, aunque no siempre es obligatoria su designación, contar con ella facilita el cumplir con las obligaciones y requisitos de la ley.
En este artículo explicamos en profundidad quién es el Delegado de Protección de Datos, cuáles son sus funciones, cuándo es necesario designarlo y quién debe nombrar al DPO en una organización.
Contenido del artículo
- ¿Qué es un Delegado de Protección de Datos?
- El Delegado de Protección de Datos según el Reglamento RGPD
- ¿Cuáles son las funciones del Delegado de Protección de Datos?
- Requisitos para ser Delegado de Protección de Datos
- ¿Cuándo es necesaria la figura de un DPO?
- Designación de un Delegado de Protección de Datos en las empresas
- ¿Quién puede ser Delegado de Protección de Datos?
- ¿Necesitas un Delegado de Protección de Datos para tu organización?
- Te ayudamos a cumplir la Ley de Protección de Datos
- Preguntas frecuentes
- ¿Quién es el delegado de protección de datos?
- ¿Qué hace un Delegado de Protección de Datos?
- ¿Cuál es el perfil profesional y personal de la persona delegada de protección de datos?
- ¿El delegado de protección de datos puede ser externo a la organización?
- ¿Puede existir un único delegado de protección de datos para varios responsables?
- ¿Puede existir un único delegado de protección de datos en el caso de autoridades u organismos públicos?
- ¿Debe comunicarse el nombramiento de delegados de protección de datos a la AEPD?
- ¿Tiene una responsabilidad personal el DPO?
¿Qué es un Delegado de Protección de Datos?
El Delegado de Protección de Datos (DPO) es el profesional encargado de informar sobre y supervisar el correcto cumplimiento de la normativa de protección de datos en las empresas y organizaciones responsables o encargadas del tratamiento, tanto si están obligadas a designarlo como si lo han hecho voluntariamente.
En ocasiones también llamado delegado de privacidad, el DPO (data protection officer) o DPD (si optamos por las siglas en español) también se ocupa de resolver cualquier duda sobre protección de datos en la organización y funciona como el enlace entre esta y las autoridades control correspondientes, en el caso de España, la Agencia Española de Protección de Datos (AEPD).
La figura del Delegado de Protección de Datos entró en vigor con el RGPD y la LOPDGDD en 2018, y desde entonces su nombramiento en empresas, entidades públicas y otras organizaciones es obligatorio en determinadas circunstancias.
Cabe señalar que responsable, encargado y Delegado de Protección de Datos no son la misma figura, ni el responsable ni el encargado pueden ser a la vez el DPO. La diferencia entre responsable, encargado y Delegado de Protección de Datos reside en el papel que ocupan respecto al tratamiento de datos personales: responsables y encargados son personas jurídicas o físicas que para el desarrollo de su actividad llevan a cabo el tratamiento de datos personales, mientras que el DPO es la persona física o jurídica designada por el responsable o el encargado del tratamiento para velar por el cumplimiento de la normativa en la entidad.
El Delegado de Protección de Datos es obligatorio para TODAS las empresas, organismos y administraciones incluidas en el artículo 34 de la LOPDGDD. Si necesitas un DPO, en Atico34 podemos ayudarte.
El Delegado de Protección de Datos según el Reglamento RGPD
La figura y funciones del Delegado de Protección de Datos en el RGPD están recogidas y explicadas en los artículos 37, 38 y 39 del Reglamento General de Protección de Datos.
En concreto, el artículo 37 del RGPD hace referencia al nombramiento del Delegado de Protección de Datos.
El artículo 38 se refiere a la posición del DPO en la empresa u organización y su relación con el responsable y encargado del tratamiento.
Por último, el artículo 39 detalla las funciones del DPO dentro de la organización.
El Delegado de Protección de Datos en el RGPD
El Delegado de Protección de Datos (DPD/DPO es la persona encargada de supervisar y monitorizar, de forma confidencial e independiente, si se está cumpliendo con la normativa de protección de datos personales en el seno de una organización.
¿Cuáles son las funciones del Delegado de Protección de Datos?
Según el artículo 39 del RGPD, estas son las funciones del Delegado de Protección de Datos::
- Informar y asesorar al responsable o al encargado del tratamiento y a los empleados de las obligaciones que les incumben en todo lo relacionado con la implantación de políticas de Protección de Datos
- Comprobar el cumplimiento del RGPD, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes
- Ofrecer el asesoramiento relativo a las evaluaciones de impacto y la supervisión del cumplimiento normativo de su aplicación interna
- Debe informar y asesorar al responsable o al encargado del tratamiento de las obligaciones normativas en protección de datos que les incumban.
- Tiene que asesorar tanto al responsable como al encargado acerca de la evaluación de impacto que realice relativa a la protección de datos.
- Asesorar a los empleados durante el tratamiento de datos.
- Supervisar el adecuado cumplimiento de las normas sobre protección de datos en la entidad.
- Revisar las políticas internas de privacidad en la organización y su adecuación normativa.
- Asignar responsabilidades entre los miembros de la organización, respecto a las obligaciones en materia de protección de datos.
- Realización de acciones de concienciación internas respecto al cumplimiento efectivo de la normativa.
- Formar al personal que participa en las operaciones de tratamiento de datos.
- Supervisar las evaluaciones de impacto en la protección de datos.
- Control, coordinación y verificación de las medidas de seguridad aplicables.
- Cooperar con las Agencias Autonómicas y con la Agencia Española de Protección de Datos.
- Atender las consultas que los interesados realicen a la entidad, ya sea para cuestiones relativas al tratamiento de sus datos o para el ejercicio de sus derechos.
- Actuar como enlace con la autoridad de control para cuestiones relativas al tratamiento y la realización de consultas.
- Actuar como punto de contacto con la Agencia Española de Protección de Datos para las cuestiones relacionadas con el tratamiento de datos personales, incluyendo la consulta previa.
- Cooperar con la autoridad de control.
Funciones del Delegado de protección de datos.
Requisitos para ser Delegado de Protección de Datos
Con carácter general, los requisitos para ser Delegado de Protección de Datos deben tener experiencia en proyectos o actividades relacionadas con la protección de datos, o contar con formación específica en la materia reconocida.
Certificación
La autoridad de control española, siguiendo el ejemplo de sus homólogas europeas, ha promovido un modelo de certificación de Delegado de Protección de Datos para que los interesados en ejercer dicha posición puedan acreditarse.
La AEPD y la ENAC son las principales impulsoras de este esquema de certificación para Delegado de Protección de Datos.
No obstante, hay que señalar que esta certificación para el DPO en protección de datos no es obligatoria, aunque sí que ofrece una seguridad y fiabilidad para que las empresas y otras organizaciones obligadas o interesadas en nombrar un DPO, encuentren un profesional que cuente con los conocimientos y aptitudes necesarias para poder desempeñar todas sus funciones y responsabilidades.
Conocimientos jurídicos
El artículo 37.5 del RGPD señala que “el delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39“.
A raíz de la referencia expresa a una titulación universitaria que hace la LOPD-GDD, puede entenderse que el DPO en primer lugar deberá ser licenciado/graduado en Derecho.
No obstante, por la propia materia objeto de trabajo, también resulta muy importante que el Delegado de Protección de Datos personales tenga un perfil de carácter técnico, habida cuenta que con las nuevas tecnologías, cualquier implantación de políticas de protección de datos, va a requerir de medio telemáticos que permitan desarrollarla, y por ello, está persona deberá colaborar de forma estrecha con quién preste el servicio técnico de página web, programas de gestión, etc., dentro de esa entidad.
Experiencia práctica
Resulta evidente que al margen de una titulación académica, es necesario llevar esos conocimientos que se han adquirido a la vida real.
Es por esto, que la normativa requiere conocimientos de protección de datos para el DPD de índole práctica, es decir, que el DPD haya participado en proyectos o actividades relacionados directamente con la protección de datos, puesto que se va a convertir en el asesor principal en materia de protección de datos en la empresa. Se recomienda:
- 5 años de experiencia ejerciendo funciones relacionadas con la protección de datos
- 3 años de experiencia + 60 horas de formación reconocida.
- 2 años de experiencia + 100 horas de formación reconocida.
- Sin experiencia serán necesarias 180 horas de formación reconocida.
Capacidad para ejecutar sus funciones mínimas
Los delegados de protección de datos deben tener, más allá de su formación y experiencia, las siguientes cualidades y capacidades:
- Ética Profesional
- Conocimiento sobre el sector empresarial y organización corporativa interna
- Buena capacidad comunicativa, habilidad negociadora y trabajo en equipo
- Manejo de diferentes idiomas
- Proactividad
- Independencia para trabajar sin supervisión continua.
Así mismo, debe tener, cómo ya señalamos más arriba, recursos e independencia para poder ejecutar sus funciones en las condiciones que requiere la normativa.
¿Cuándo es necesaria la figura de un DPO?
El RGPD y la LOPDGDD indican cuando es necesario tener un Delegado de Protección de Datos, si bien, la ley española es mucho más concreta que el reglamento europeo, y señala cuáles son exactamente los sectores de actividad o tipos de organizaciones dónde es necesaria la figura del Delegado de Protección de Datos de manera obligatoria.
Así, se deberá contratar un Delegado de Protección de Datos siempre que la empresa u organización trate datos personales de forma masiva o realice un tratamiento de datos que pueda entrañar un riesgo elevado para los derechos o libertades de las personas.
El artículo 34 de la LOPDGDD señala exactamente las actividades y empresas en las que es necesaria la figura de un Delegado de Protección de Datos. En concreto, la designación de un delegado de protección de datos es obligatoria para:
- Los colegios profesionales y sus consejos generales.
- Centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
- Entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
- Prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
- Entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
- Establecimientos financieros de crédito.
- Entidades aseguradoras y reaseguradoras.
- Empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
- Distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
- Entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
- Entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
- Centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes, salvo los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
- Entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
- Operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
- Empresas de seguridad privada.
- Federaciones deportivas cuando traten datos de menores de edad.
Así mismo, también deberá haber un DPO en las administraciones públicas y en aquellas empresas obligadas a tener canal de denuncias interno (en la práctica, aquellas empresas con 50 o más empleados).
Aunque para el resto de empresas y organizaciones no es obligatorio designar un Delegado de Protección de Datos personales, sí que se recomienda contar con este profesional, especialmente en negocios u organizaciones de cierta envergadura y aquellas que usen nuevas tecnologías en su actividad diaria.
Contar con un Delegado de Protección de Datos es recomendable por la multitud de ventajas que ofrece, incluso si tu empresa no está obligada por Ley
Designación de un Delegado de Protección de Datos en las empresas
La designación de un Delegado de Protección de Datos para empresas debe hacerse atendiendo a lo establecido en el artículo 37.5 del RGPD:
- Sus conocimientos especializados del Derecho
- La experiencia práctica en materia de protección de datos
- Su capacidad para desempeñar las funciones mínimas a las que hacíamos referencia en el primer apartado de este artículo
A su vez, la LOPDGDD española, añade que esos requisitos podrán demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación, que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en Derecho.
¿Quién nombra al Delegado de Protección de Datos?
Entre las obligaciones del responsable del tratamiento (y, en su caso, del encargado) está nombrar al DPO cuando su actividad se encuentre dentro de los supuestos del Delegado de Protección de Datos obligatorio.
En el caso de los grupos empresariales, el artículo 37.2 del RGPD señala que podrán designar un único Delegado de Protección de Datos siempre que sea fácilmente accesible desde cada empresa, delegación o establecimiento.
Por su parte, el artículo 37.3 del RGPD indica que las autoridades y organismos públicos también podrá designar un solo Delegado de Protección de Datos para varias de sus sedes, siempre y cuando sea posible de acuerdo a su tamaño o estructura organizativa.
En empresas no obligadas, en las que es recomendable contar con esta figura, quien designa al DPO es también el responsable o el encargado del tratamiento.
¿Cuándo se debe nombrar un Delegado de Protección de Datos?
El artículo 37 del RGPD señala que el responsable o encargado del tratamiento nombrarán un Delegado de Protección de Datos siempre que concurran alguna de estas circunstancias:
- El tratamiento lo realiza una autoridad u organismo público, con excepción de los tribunales en ejercicio de sus funciones.
- La actividad principal de la organización requiera el tratamiento de datos personales a gran escala y/o el tratamiento de datos especialmente protegidos.
Por su parte, el artículo 34 de la LOPDGDD profundiza aún más en esta cuestión e indica cuáles son todos los sectores de actividad obligados a contar con un DPO (ver epígrafe “¿Cuándo es necesaria la figura de un DPO?”).
¿Quién puede ser Delegado de Protección de Datos?
El artículo 37.6 del RGPD señala que “el delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del
tratamiento o desempeñar sus funciones en el marco de un contrato de servicios“.
Por tanto, cada empresa u organización puede decidir si designa un Delegado de Protección de Datos interno dentro de la propia empresa, o contratar un DPO externo, ya que la normativa lo permite.
En ambos casos, resulta fundamental que cumpla los requisitos del artículo 37.5, en concreto que cuente con la formación y experiencia necesarias para ejercer sus funciones.
¿Qué ocurre si no designo un DPO?
El artículo 73/v de la LOPDGDD establece como infracción grave el incumplimiento del deber de nombrar un DPO, de acuerdo a los dispuesto en el artículo 34 de la misma ley y con el artículo 37 del RGPD.
De acuerdo con la LOPDGDD, la sanción por no nombrar un DPO es de entre 40.001 y 300.000 euros y prescribe a los dos años.
El importe de la sanción puede variar en función de diferentes factores, como el tiempo durante el cuál se ha extendido la infracción, el perjuicio causado o si ha existido propósito de enmienda.
¿Necesitas un Delegado de Protección de Datos para tu organización?
Si necesitas contratar un DPO para tu empresa, en Atico34 podemos ayudarte. Recuerda que esta figura será necesaria siempre que trates datos personales de forma masiva o si los datos que manejas entrañan un riesgo elevado para los derechos y libertades de los individuos. Y la normativa permite contratar un Delegado de Protección de Datos externo.
Nuestros DPO tienen formación y experiencia específica en la materia y te guiarán en todo lo necesario para cumplir con el RGPD y la LOPDGDD. Ponte en contacto con nosotros, cuéntanos tu caso y te asignaremos el Delegado de Protección de Datos que mejor se adapte a las necesidades de tu empresa.
Respecto a cuál es el coste de un DPO, en el caso de Atico34, las tarifas y el precio del Delegado de Protección de Datos se incluyen en nuestros servicios.
Preguntas frecuentes
¿Quién es el delegado de protección de datos?
El Delegado de Protección de Datos es el profesional encargado de la gestión y supervisión del correcto cumplimiento de la normativa de protección de datos en aquellas empresas que manejan datos a gran escala y/o altamente protegidos, en concreto, en aquellas organizaciones señaladas en el artículo 34 de la LOPDGDD.
¿Qué hace un Delegado de Protección de Datos?
El Delegado de Protección de Datos se encarga de garantizar el correcto cumplimiento de la normativa de protección de datos en las organizaciones. Entre sus funciones está asesorar al responsable y encargado del tratamiento así como al resto de la plantilla, supervisar y verificar el cumplimiento de las medidas adoptadas, cooperar con la AEPD y las agencias de protección de datos autonómicas, atender consultas de terceros o actuar como enlace entre la organización y las autoridades de control.
¿Cuál es el perfil profesional y personal de la persona delegada de protección de datos?
El perfil profesional de un Delegado de Protección de Datos es el de un Licenciado en Derecho, con formación específica en protección de datos y, a ser posible, con experiencia en la materia. También es importante que cuente con una certificación profesional, aunque no imprescindible ya que todavía no existen certificaciones oficiales como tales.
Aparte de su formación, experiencia y conocimiento jurídicos, es deseable que el Delegado de Protección de Datos sea una persona proactiva, comunicativa, con conocimientos del sector empresarial y con capacidad para trabajar de manera independientemente y sin supervisión.
¿El delegado de protección de datos puede ser externo a la organización?
Sí, la normativa deja abierta la posibilidad a que sea la propia organización quien decida si designa a un DPO dentro de la empresa o si contrata los servicios de un Delegado de Protección de Datos externo.
¿Puede existir un único delegado de protección de datos para varios responsables?
Sí. El artículo 37.2 del RGPD indica que un grupo empresarial podrá tener un solo Delegado de Protección de Datos siempre y cuándo “éste sea fácilmente accesible desde cada establecimiento.
¿Puede existir un único delegado de protección de datos en el caso de autoridades u organismos públicos?
Sí. El artículo 37.3 del RGPD señala que será posible que estos organismos cuenten con un único DPD para varias de sus sedes, siempre y cuando esto sea posible en función de su estructura organizativa y tamaño.
¿Debe comunicarse el nombramiento de delegados de protección de datos a la AEPD?
Para dar de alta un Delegado de Protección de Datos en la empresa u organización es necesario comunicar su información de contacto a través de un formulario en la sede electrónica de la AEPD. Asimismo, en dicha sede electrónica será posible consultar los datos de contacto de todos los delegados de protección de datos registrados en su base de datos. La información presente en dicha base de datos no podrá ser usada con otros fines distintos a la mera consulta, estando prohibido su tratamiento, difusión o cualquier otra finalidad distinta a la prevista.
¿Tiene una responsabilidad personal el DPO?
No. El RGPD establece de forma clara que es el responsable o encargado del tratamiento y no el Delegado quien tiene la obligación de aplicar las medidas de carácter técnico y organizativo necesarias para garantizar y demostrar que el tratamiento es conforme a la normativa.
No obstante, el DPO deberá asesorar directamente al máximo responsable de la entidad, el cual, deberá tener en cuenta la opinión y las directrices de este, siendo suya la última palabra (y también la responsabilidad derivada de las consecuencias) a la hora de aceptar o no los consejos que recibe de su máximo asesor en materia de privacidad.
