Los supuestos del RGPD
El art. 37.1 RGPD exige un delegado en tres casos:
- el tratamiento lo realiza una autoridad u organismo público, excepto los tribunales en su función judicial;
- la actividad principal consiste en operaciones que requieren una observación habitual y sistemática de personas a gran escala;
- la actividad principal consiste en tratar a gran escala categorías especiales de datos o datos sobre condenas e infracciones penales.
La lista española del art. 34 LOPDGDD
La LOPDGDD concreta una serie de entidades que deben nombrar DPD en todo caso. Entre ellas:
- colegios profesionales y sus consejos generales;
- centros docentes que ofrecen enseñanzas en cualquiera de los niveles de la legislación educativa, y universidades públicas y privadas;
- entidades de crédito, aseguradoras y reaseguradoras, y empresas de servicios de inversión;
- operadores de comunicaciones electrónicas que traten habitual y sistemáticamente datos a gran escala, y prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala;
- centros sanitarios obligados a conservar historias clínicas, salvo los profesionales sanitarios que ejercen a título individual;
- distribuidores de energía eléctrica y gas, sistemas comunes de solvencia y de prevención del fraude, empresas de publicidad que elaboren perfiles y de informes comerciales;
- empresas de seguridad privada, operadores del juego en línea y federaciones deportivas que traten datos de menores, entre otros.
Qué hace el DPD
Sus funciones están en el art. 39 RGPD: informar y asesorar, supervisar el cumplimiento, asesorar sobre las evaluaciones de impacto, cooperar con la autoridad de control y ser su punto de contacto. En España, además, puede recibir reclamaciones que la AEPD le remite antes de admitirlas a trámite (art. 37 y 65.4 LOPDGDD), con un mes para responder.
Independencia y conflictos de interés
El DPD no recibe instrucciones sobre el ejercicio de sus funciones, no puede ser destituido ni sancionado por desempeñarlas y rinde cuentas al más alto nivel jerárquico (art. 38 RGPD). Puede tener otras tareas, siempre que no generen un conflicto de interés: quien decide los fines y medios del tratamiento no debería ser su propio DPD.
Interno o externo, y comunicación a la AEPD
El DPD puede ser un empleado o un profesional externo con contrato de servicios (art. 37.6 RGPD). El nombramiento, también el voluntario, se comunica en diez días a la AEPD o, en su caso, a la autoridad autonómica (art. 34.3 LOPDGDD), y sus datos de contacto se publican, por ejemplo en la política de privacidad.
Preguntas frecuentes
¿Una pyme necesita DPD?
Solo si está en alguno de los supuestos del art. 37 RGPD o en la lista del art. 34 LOPDGDD. Si no, puede nombrarlo de forma voluntaria.
¿El DPD responde de las sanciones?
No. La responsabilidad de cumplir es del responsable o encargado del tratamiento, no del delegado.
¿Puede ser DPD alguien de fuera de España?
Sí, siempre que sea fácilmente accesible para la organización, los interesados y la autoridad de control.