¿Necesita tu empresa un Delegado de Protección de Datos?

Cada cierto tiempo llega a las empresas un correo comercial avisando de que «su empresa está obligada a designar un Delegado de Protección de Datos». Casi siempre es falso. Pero hay casos en los que sí es obligatorio, y confundirlos sale caro en las dos direcciones: por contratar lo que no necesitas o por no tener lo que se te exige.

Esta guía te deja la respuesta clara para una pyme española.

Qué es un DPD y qué no es

El Delegado de Protección de Datos es una figura del Reglamento europeo: una persona (interna o externa) con conocimientos en la materia que supervisa el cumplimiento, asesora y actúa como punto de contacto con la autoridad de control y con los interesados.

Lo que no es:

No es el responsable del tratamiento. La responsabilidad sigue siendo de la empresa.
No es un servicio de adecuación. Redactar tus textos legales y tu registro de tratamientos es consultoría, no el cargo de delegado.
No responde personalmente de las sanciones a la empresa; debe poder actuar con independencia y no ser cesado por ejercer sus funciones.

Cuándo es obligatorio

El Reglamento lo exige en tres supuestos generales: autoridades públicas, tratamientos que requieran observación habitual y sistemática a gran escala, y tratamiento a gran escala de categorías especiales de datos (salud, ideología, biometría, entre otros) o de datos penales.

La ley española concreta además un listado de entidades obligadas. Entre las que pueden aparecer en el tejido de una pyme:

Centros docentes y universidades.
Entidades financieras y de crédito, aseguradoras y reaseguradoras.
Prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala.
Centros sanitarios legalmente obligados a mantener historiales clínicos.
Empresas de seguridad privada y quienes desarrollen actividades de publicidad y prospección comercial con perfilado.
Operadores de juego a través de canales electrónicos.

La lista completa está en el artículo 34 de la ley orgánica española de protección de datos. Conviene leerla entera: la redacción exacta importa y puede cambiar.

Cuándo NO es obligatorio (que es lo habitual)

Una empresa de servicios, un comercio, un taller, una asesoría pequeña o una tienda online normal no está obligada por el mero hecho de tener una web con formularios, una lista de correo o un fichero de clientes. Hacer marketing por correo a tus propios clientes no es «observación sistemática a gran escala».

Dos matices que sí conviene mirar con calma:

Gran escala no significa «muchos para mi tamaño»: se valora el número de interesados, el volumen de datos, la duración y el alcance geográfico.
Perfilado significa analizar comportamiento para predecir o segmentar, no simplemente guardar pedidos.

La trampa comercial: si recibes una llamada que afirma que estás obligado y te ofrece el servicio inmediatamente, pide que te digan por escrito en qué supuesto concreto encajas. En la mayoría de los casos, la respuesta no llega.

Designarlo voluntariamente: ventajas y letra pequeña

Puedes nombrarlo aunque no estés obligado. Tiene sentido si tratas datos delicados o si quieres una supervisión externa periódica. Pero ojo:

Si lo designas, se le aplican todas las obligaciones del cargo, y su designación hay que comunicarla a la Agencia.
Debe tener independencia, recursos y acceso directo a la dirección.
No puede estar en conflicto de intereses: la persona que decide los fines de los tratamientos (gerencia, dirección de marketing o de sistemas) no puede ser a la vez quien los supervise.

Lo que sí tienes que tener, estés obligado o no

Esta es la parte útil, porque es donde de verdad se juegan las sanciones que vemos:

Registro de actividades de tratamiento actualizado: cómo se hace en una pyme.
Bases jurídicas claras para cada tratamiento, y textos informativos coherentes con ellas: RGPD para una web pequeña.
Contratos de encargado con hosting, agencia, gestoría y cualquier proveedor que toque datos: qué significa eso.
Medidas de seguridad apropiadas y documentadas: el artículo 32 traducido.
Procedimiento de derechos: saber qué haces cuando alguien pide acceso o supresión: cómo responder a un derecho de supresión.
Procedimiento de brechas, con los plazos aprendidos antes de necesitarlos: notificar en 72 horas.

Un delegado sin esas seis cosas no sirve de nada; esas seis cosas sin delegado, en la mayoría de las pymes, son exactamente lo que se te pide.

Cómo salir de dudas

Responde por escrito a estas tres preguntas y guarda la respuesta con fecha:

¿Mi actividad principal implica observar sistemáticamente a personas a gran escala?
¿Trato a gran escala datos de salud, biométricos, ideológicos o penales?
¿Encajo en alguno de los supuestos del listado de la ley española?

Tres noes significan que no estás obligado, y ese documento es la justificación de tu decisión si alguien la cuestiona. Si alguna respuesta es «no lo tengo claro», es el momento de una consulta puntual a un profesional, no de contratar un servicio recurrente a ciegas.

La Agencia publica material orientativo y herramientas gratuitas para pymes en su web, incluida la sección específica sobre la figura del delegado.

Seguir leyendo en esta sección

Ver todo en RGPD y protección de datos → · Mapa completo del sitio