¿Es obligatorio el Delegado de Protección de Datos?

Entre las dudas relativas a la protección de datos, no saber cuándo el Delegado de Protección de Datos es obligatorio es bastante habitual. En las siguientes líneas resolveremos esta duda y otras cuestiones relacionadas con la obligación de tener un DPO en la empresa u organización.

¿Cuándo es obligatorio el Delegado de Protección de Datos?

El Delegado de Protección de Datos es obligatorio cuándo se cumple alguno de los supuestos señalados tanto por el Reglamento General de Protección de Datos (RGPD) como por la Ley Orgánica de Protección de Fatos y Garantía de los Derechos Digitales (LOPDGDD).

Según el RGPD

El Delegado de Protección de Datos es obligatorio, según el artículo 37.1 del RGPD, cuando:

• El tratamiento de datos lo lleva a cabo una autoridad pública, salvo los tribunales que actúen en ejercicio de su función judicial.
• Las actividades principales del responsable del tratamiento o del encargado del tratamiento consistan en operaciones que requieran una observación habitual y sistemática de datos personales a gran escala.
• Las actividades de responsables o encargados consisten en el tratamiento a gran escala de categorías de datos especiales.

Según la LOPD

La LOPDGDD española señala que “los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679“. Sin embargo, esta normativa va un poco más allá y señala a las empresas obligadas a tener Delegado de Protección de Datos.

¿Qué empresas están obligadas a tener un DPO?

La LOPDGDD detalla cuáles son las empresas obligadas a tener un Delegado de Protección de Datos (aparte de los supuestos del RGPD):

• Las entidades que exploten redes y presten servicios de comunicaciones electrónicas. Aquí se incluyen las compañías telefónicas y los proveedores de acceso a Internet, siempre y cuando traten perfiles a gran escala.
• Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
• Las entidades de ordenación, supervisión y solvencia de entidades de crédito. Estamos hablando de entidades de crédito como los bancos, las cajas de ahorros, las cooperativas de crédito y el Instituto de Crédito Oficial.
• Los establecimientos financieros de crédito.
• Las empresas aseguradoras y reaseguradoras.
• Las empresas de servicios de inversión. Son las que ofrecen servicios de inversión bursátiles y de fondos de ahorro.
• Los distribuidores y comercializadores de energía eléctrica y gas natural.
• Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude.
• Las empresas que desarrollen actividades de publicidad y prospección comercial.
• Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
• Las empresas que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
• Los operadores que desarrollen la actividad de juego a través de canales telemáticos o interactivos. En este caso incluimos a las entidades que ofrecen apuestas deportivas online, así como también juegos de casino.
• Las empresas de seguridad privada. Quienes desempeñen las actividades reguladas por el Título II de la Ley 5/2014, de 4 de abril, de Seguridad Privada. Se incluyen en este caso empresas que proporcionan seguridad privada, así como también los despachos de detectives privados.
• Distribuidores y comercializadores de electricidad. En este caso no solo comprendemos a las compañías eléctricas, sino también a las entidades que venden al público esa electricidad.

Empresas obligadas a tener Delegado de protección de datos

Cuando se trate de grupos empresariales o autoridades u organismos públicos dependientes, se podrá designar a un Delegado de Protección de datos para todas las entidades, siempre y cuando resulte viable el ejercicio de su función en todas ellas, atendiendo, por tanto, a la estructura organizativa y el tamaño de las mismas.

El responsable del tratamiento de datos designará al Delegado de Protección de Datos de la organización, pudiendo contratar los servicios de un DPO externo (bien a un profesional por cuenta ajena o a través de una consultoría especializada en el cumplimiento de la normativa).

Los datos del DPO se comunicarán a la AEPD (Agencia Española de Protección de Datos) en un plazo de 10 días. En nuestro artículo sobre quién puede ser Delegado de Protección de Datos detallamos qué perfil profesional puede ocupar esta posición en empresas y otras entidades.

Otras entidades obligadas a tener DPO

El Delegado de Protección de Datos es obligatorio también en las siguientes entidades:

• Todas las autoridades y organismos públicos (con independencia de los datos que gestionen).
• Los colegios profesionales y sus consejos generales. Son asociaciones de carácter profesional o gremial integrada por quienes ejercen una profesión liberal y que suelen estar amparados por el Estado.
• Los centros educativos y las Universidades públicas y privadas.
• Las federaciones deportivas cuando traten datos de menores de edad.

Así mismo, también deberán designar un Delegado de Protección de datos las empresas obligadas a tener un canal de denuncias interno (de acuerdo a la Directiva Whistleblowing) y aquellas empresas o entidades que hayan implantado un canal de denuncias, aunque no estén obligadas a ello, ya que la gestión de estos canales y de las denuncias recibidas a través de ellos, deben garantizar la protección de datos de los denunciantes, denunciados y testigos (tal y como se recoge en el artículo 24 de la LOPDGDD).

Obligatoriedad del Delegado de protección de datos (resumen)

¿Cuándo NO es obligatorio designar a un Delegado de Protección de Datos?

Un Delegado de Protección de Datos no es obligatorio cuando empresas y entidades realizan actividades en las que el tratamiento de datos no está comprendido en los supuestos recogidos por el RGPD y la LOPDGDD.

Así mismo, tampoco deberán designar un DPO obligatorio los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.

¿Por qué siempre es conveniente tener un Delegado de Protección de Datos?

Las empresas y entidades cuya actividad no esté comprendida en los supuestos del RGPD o de la LOPDGDD, pueden nombrar a un DPO de forma voluntaria para tener un mejor control y gestión de los tratamientos de datos personales y las medidas de protección de datos, además de contar con un profesional formado específicamente en la materia, que podrá ayudarles a resolver cualquier duda respecto a los tratamientos de datos que realizan o prevén realizar.

El nombramiento de un DPO voluntario tiene los mismos requisitos, funciones y obligaciones que un Delegado de Protección de Datos obligatorio.

Te ayudamos a cumplir la Ley de Protección de Datos

Escríbenos o contacta con nuestras oficinas

He leído y acepto la política de privacidad.

Preguntas frecuentes

¿Cuándo es obligatorio tener un DPO?

La designación del Delegado de Protección de Datos es obligatoria (según el RGPD), cuando el tratamiento de datos lo realiza una autoridad o entidad pública (por ejemplo, un ayuntamiento o una universidad pública), si el responsable realiza una supervisión constante y sistemática de personas a gran escala (como una empresa de videovigilancia con reconocimiento facial en espacios públicos), o cuando se procesan datos sensibles en gran volumen (por ejemplo, un hospital que maneja historiales médicos de miles de pacientes).

¿Se puede nombrar un Delegado de Protección de Datos sin ser obligatorio?

Sí, cualquier empresa puede designar voluntariamente un DPO, aunque no sea obligatorio. Esto puede mejorar la gestión de la privacidad y el cumplimiento normativo, reduciendo riesgos de sanciones.

¿La gestión de datos sensibles (salud, biometría, creencias religiosas) obliga a tener un DPO?

Sí, si se realiza a gran escala. Por ejemplo, hospitales, aseguradoras de salud o laboratorios de análisis clínicos deben contar con un DPO.

¿Qué se considera un tratamiento a gran escala de datos personales?

El tratamiento de un volumen elevado de datos personales, afectando a un número significativo de personas y con una extensa cobertura geográfica o continuidad en el tiempo (ejemplo: hospitales, bancos o redes sociales).

¿Qué sanciones puede recibir mi empresa si no designa un DPO cuando es obligatorio?

Multas de hasta 10 millones de euros o el 2% de la facturación anual global, además de posibles reclamaciones de los afectados.

Si subcontrato el tratamiento de datos a un tercero, ¿quién es responsable de designar un DPO?

La obligación de designar un DPO recae en ambas partes, tanto en el responsable como en el encargado del tratamiento, si cumplen los criterios del RGPD.

¿Qué pasa si mi empresa supervisa de forma habitual a los clientes o empleados (geolocalización, videovigilancia)?

Si la supervisión es continua y a gran escala, es obligatorio contar con un DPO. Ejemplo: empresas de seguridad privada con videovigilancia masiva o apps de geolocalización de empleados.