El rol del DPO en pocas palabras: quién puede serlo, qué hace y cuándo está legalmente obligado a nombrar uno.
¿Qué es un DPO?
Un delegado de protección de datos (DPO) es una figura de cumplimiento formalmente designada e independiente. El RGPD no ofrece una única definición autónoma. En su lugar, el rol se define mediante los requisitos de nombramiento, las garantías de independencia y las funciones legales establecidas en los artículos 37 a 39 del RGPD.
Conforme al RGPD (art. 37.5 RGPD), el DPO debe designarse atendiendo a sus cualidades profesionales, en particular a sus conocimientos especializados en derecho de protección de datos, y a su capacidad para desempeñar las funciones del cargo en la práctica.
El DPO no puede actuar siguiendo instrucciones y no debe tener conflicto de intereses. En la práctica, esto significa que un DPO no puede auditar su propio trabajo ni ocupar un puesto directivo que influya en las decisiones sobre el tratamiento de datos.
¿Qué hace un DPO?
Funciones legales (art. 39 RGPD)
- Informar y asesorar al responsable o encargado del tratamiento y a su personal sobre sus obligaciones en materia de protección de datos.
- Supervisar el cumplimiento del RGPD y de las políticas internas de protección de datos.
- Actuar como punto de contacto de la autoridad de control.
Responsabilidades habituales en la práctica
- Impartir formación al personal para generar conciencia e integrar una cultura de protección de datos en toda la organización.
- Apoyar la gestión de incidentes, guiando la respuesta de la organización ante brechas de seguridad, incluidas las obligaciones de notificación.
- Asesorar sobre evaluaciones de impacto relativas a la protección de datos (EIPD): evaluaciones de riesgo estructuradas exigidas antes de cualquier tratamiento de alto riesgo.
Los datos de contacto del DPO deben publicarse y comunicarse a la autoridad de control.
¿Necesita uno?
El nombramiento de un DPO es obligatorio (art. 37.1 RGPD) si usted es una autoridad pública, o si sus actividades principales conllevan el tratamiento a gran escala de categorías especiales de datos (salud, datos biométricos, antecedentes penales) o la observación habitual y sistemática de personas a gran escala.
Obligatorio — ejemplos
- Un hospital con grandes volúmenes de datos de pacientes
- Una empresa de seguridad que vigila espacios públicos
- Una consultora de selección de personal que elabora perfiles de personas
No obligatorio — ejemplos
- Un médico de familia que trata los datos de sus pacientes
- Un pequeño despacho de abogados que trata los datos de sus clientes
Fuente: Comisión Europea, «Does my company/organisation need to have a data protection officer?»
Incluso cuando no exista obligación legal, vale la pena considerar esta figura. Un DPO aporta una gestión de riesgos estructurada, reduce la exposición a sanciones y medidas regulatorias, y transmite a clientes y socios que la protección de datos se toma en serio.
¿Interno o externo?
Un DPO puede ser un empleado, un contratista externo o incluso una organización. Para las empresas más pequeñas, un DPO externo a tiempo parcial es una opción habitual y válida. En cualquier caso, el requisito clave es el mismo: el DPO debe poder actuar con independencia, sin estar sujeto a instrucciones sobre cómo desempeñar sus funciones.
Un punto importante si decide nombrar un DPO de forma voluntaria: se aplican las mismas normas. La independencia, la ausencia de conflicto de intereses y las funciones legales no son opcionales por el hecho de que el nombramiento no fuera legalmente obligatorio.
Las normas nacionales varían
El RGPD establece el estándar mínimo. Los Estados miembros pueden ir más allá. Alemania, por ejemplo, tiene umbrales más estrictos que pueden desencadenar la obligación de nombrar un DPO incluso cuando las normas de la UE por sí solas no lo exigirían. Es fácil suponer que las normas son uniformes en toda la UE. No lo son. Compruebe siempre qué se aplica en cada jurisdicción si opera de forma transfronteriza.
¿No está seguro de si su organización cumple? Escríbame, estaré encantada de hablarlo.