El Delegado de Protección de Datos es una figura regulada por el RGPD con funciones específicas de información, asesoramiento, supervisión y cooperación con la autoridad de control. Ofrecemos servicio de DPD externo para organizaciones que deben designarlo o que deciden hacerlo voluntariamente, manteniendo la independencia y posición necesarias para desarrollar correctamente sus funciones.
Servicio DPO Externo
El Delegado de Protección de Datos es una figura específica dentro del sistema de cumplimiento establecido por el Reglamento General de Protección de Datos.
Su función no consiste en asumir la responsabilidad de la organización sobre los tratamientos ni en sustituir a la dirección en la toma de decisiones.
El DPD informa, asesora, supervisa el cumplimiento, participa en determinadas cuestiones relacionadas con la protección de datos, coopera con la autoridad de control y actúa como punto de contacto.
Puede formar parte de la plantilla de una organización o desarrollar sus funciones mediante un contrato de servicios externo.
En determinados supuestos su designación es obligatoria. En otros, una organización puede decidir voluntariamente contar con esta figura.
El Delegado de Protección de Datos, conocido en español como DPD y también mediante las siglas inglesas DPO —Data Protection Officer—, es una figura regulada principalmente en los artículos 37, 38 y 39 del RGPD.
Su misión se desarrolla desde una posición particular dentro de la organización.
Debe disponer de conocimientos especializados en Derecho y práctica de protección de datos y capacidad suficiente para desempeñar las funciones que le atribuye el Reglamento.
Además, debe poder actuar con la independencia necesaria.
Esto diferencia al DPD de otros servicios de consultoría.
Una empresa puede recibir asesoramiento en protección de datos sin haber designado formalmente un DPD.
Del mismo modo, cuando existe un DPD, sus funciones y posición deben respetar las condiciones establecidas por el RGPD.
Sí.
DPD corresponde a:
Delegado de Protección de Datos.
DPO corresponde a:
Data Protection Officer.
En España, la legislación y la Agencia Española de Protección de Datos utilizan habitualmente la denominación Delegado de Protección de Datos y las siglas DPD.
Sin embargo, DPO está ampliamente extendido en empresas y entornos internacionales.
Por ello utilizamos ambas denominaciones cuando resulta útil, aunque en esta página nos referiremos principalmente a DPD.
No todas las empresas están obligadas a tener un DPD.
El artículo 37 del RGPD establece tres grandes situaciones en las que responsable o encargado deben designarlo.
Debe designarse cuando el tratamiento lo lleve a cabo una autoridad u organismo público, con la excepción prevista para los tribunales cuando actúan en ejercicio de su función judicial.
También resulta obligatorio cuando las actividades principales del responsable o encargado consisten en operaciones de tratamiento que, por su naturaleza, alcance o fines, requieren una observación habitual y sistemática de personas a gran escala.
En este supuesto no basta con afirmar que una empresa “monitoriza usuarios”.
Deben analizarse las características reales de la actividad y del tratamiento.
El tercer gran supuesto afecta a organizaciones cuyas actividades principales consisten en tratamientos a gran escala de categorías especiales de datos personales o de datos relativos a condenas e infracciones penales en los términos establecidos por el RGPD.
Por tanto, tratar alguna categoría especial de datos no implica automáticamente que cualquier empresa deba tener un DPD.
El alcance y las características del tratamiento son determinantes.
Además de los supuestos previstos por el RGPD, la Ley Orgánica 3/2018 establece determinadas entidades que deben designar un Delegado de Protección de Datos.
Entre ellas se encuentran, en las condiciones establecidas legalmente:
colegios profesionales y sus consejos generales;
determinados centros docentes y universidades;
determinadas entidades que explotan redes o prestan servicios de comunicaciones electrónicas;
determinados prestadores de servicios de la sociedad de la información que elaboran perfiles a gran escala;
entidades de crédito;
establecimientos financieros de crédito;
entidades aseguradoras y reaseguradoras;
empresas de servicios de inversión reguladas por la legislación del mercado de valores;
determinados distribuidores y comercializadores de energía;
entidades responsables de ficheros comunes para evaluación de solvencia patrimonial y crédito o gestión y prevención del fraude;
determinadas entidades que desarrollan actividades de publicidad y prospección comercial;
determinados centros sanitarios legalmente obligados al mantenimiento de historias clínicas;
entidades que tengan entre sus objetos la emisión de informes comerciales sobre personas físicas;
operadores de juego a través de canales electrónicos, informáticos, telemáticos o interactivos;
empresas de seguridad privada;
y federaciones deportivas cuando traten datos de menores de edad.
La obligación debe comprobarse atendiendo al supuesto legal concreto y a la actividad real de la organización.
No debe formularse de esa manera.
La LOPDGDD incluye determinados centros sanitarios legalmente obligados al mantenimiento de historias clínicas entre las entidades que deben designar DPD.
Pero la propia ley establece una excepción para los profesionales de la salud que, aun estando legalmente obligados a mantener las historias clínicas de sus pacientes, ejercen su actividad a título individual.
Por tanto, no sería correcto afirmar simplemente:
“Todos los médicos, clínicas y profesionales sanitarios necesitan DPD”.
Debe analizarse la estructura y situación concreta.
La legislación española incluye los centros docentes que ofrecen enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las universidades públicas y privadas.
En estos supuestos existe obligación de designación conforme a la LOPDGDD.
La obligación no deriva simplemente de que se traten datos de menores, sino del supuesto específico establecido legalmente para estas entidades.
No por el simple hecho de ser una asociación.
Tampoco basta con afirmar que cualquier asociación que trate categorías especiales de datos necesita automáticamente un DPD.
Debe comprobarse si concurre alguno de los supuestos del artículo 37 del RGPD o de la legislación española aplicable.
Por ejemplo, puede resultar relevante analizar si sus actividades principales implican un tratamiento a gran escala de categorías especiales de datos.
Cada situación debe evaluarse atendiendo al tratamiento real.
Ser pequeña o mediana empresa no determina por sí mismo la obligación.
Una pyme puede no encontrarse en ninguno de los supuestos que exigen DPD.
Otra organización de tamaño relativamente reducido podría desarrollar una actividad incluida específicamente en la legislación.
Por ello, el análisis debe realizarse atendiendo a:
actividad;
naturaleza de los tratamientos;
escala;
categorías de datos;
seguimiento realizado;
y supuestos sectoriales aplicables.
El número de trabajadores, por sí solo, no resuelve la cuestión.
Sí.
Las organizaciones que no están obligadas pueden designar voluntariamente un Delegado de Protección de Datos.
Una vez realizada la designación, la figura queda sometida al régimen previsto para el DPD.
Esto significa que una designación voluntaria no debería utilizarse únicamente como denominación comercial.
Si una organización decide disponer formalmente de un DPD, debe respetar su posición, independencia, funciones y demás condiciones aplicables.
Las funciones mínimas se encuentran establecidas en el artículo 39 del RGPD.
El DPD informa y asesora al responsable o encargado y a las personas que participan en los tratamientos sobre las obligaciones relacionadas con la protección de datos.
Esto puede incluir el análisis de cuestiones relacionadas con:
nuevos tratamientos;
cambios organizativos;
proveedores;
proyectos;
sistemas;
políticas;
derechos;
nuevas tecnologías;
y otras decisiones con implicaciones en protección de datos.
El DPD supervisa el cumplimiento del RGPD, de otras normas aplicables en materia de protección de datos y de las políticas internas de la organización.
Esta supervisión puede incluir aspectos relacionados con:
asignación de responsabilidades;
políticas;
procedimientos;
concienciación;
formación;
y auditorías correspondientes.
Supervisar no significa sustituir al responsable del tratamiento.
La organización continúa siendo responsable de las decisiones que le corresponden.
El DPD ofrece el asesoramiento que se le solicite acerca de la Evaluación de Impacto relativa a la Protección de Datos y supervisa su aplicación conforme al RGPD.
Esta formulación es importante.
El RGPD no establece simplemente que el DPD “hace la EIPD y se responsabiliza de ella”.
Su función normativa consiste en asesorar y supervisar.
Puedes consultar nuestra página sobre Evaluación de Impacto relativa a la Protección de Datos (EIPD) .
El DPD debe cooperar con la autoridad de control.
En España, dependiendo del ámbito correspondiente, esta función puede desarrollarse respecto de la Agencia Española de Protección de Datos o de la autoridad de protección de datos competente.
El DPD actúa como punto de contacto de la autoridad de control para las cuestiones relativas al tratamiento.
También puede realizar consultas sobre otras cuestiones cuando corresponda.
Esta función facilita un canal especializado entre la organización y la autoridad.
Las personas pueden ponerse en contacto con el Delegado de Protección de Datos para cuestiones relacionadas con el tratamiento de sus datos personales y el ejercicio de sus derechos.
Por ello, los datos de contacto del DPD deben estar disponibles conforme a la normativa.
El DPD puede intervenir y asesorar en la gestión de estas cuestiones, pero no debemos confundir esta función con que el DPD sea automáticamente el responsable jurídico de todas las decisiones adoptadas por la organización.
No.
Este es uno de los conceptos más importantes de esta página.
El responsable o el encargado del tratamiento continúa siendo responsable de las obligaciones que le corresponden.
Designar un DPD no transfiere al delegado la responsabilidad de la organización.
El DPD informa, asesora y supervisa, pero no sustituye al responsable en la toma de decisiones.
Por ejemplo, la organización debe decidir:
qué tratamientos realiza;
con qué finalidad;
qué bases jurídicas utiliza;
qué proveedores contrata;
qué medidas implanta;
cuánto tiempo conserva la información;
y cómo organiza sus procesos.
El DPD puede asesorar y supervisar esas decisiones dentro de sus funciones.
La independencia es una característica esencial de la figura.
El responsable o encargado debe garantizar que el DPD no reciba instrucciones respecto al desempeño de sus funciones.
Además, debe rendir cuentas directamente al más alto nivel jerárquico del responsable o encargado.
Esto permite que pueda formular observaciones y recomendaciones sin que sus conclusiones dependan de intereses operativos de otros departamentos.
No resulta útil consultar al DPD cuando un proyecto ya está completamente implantado y las decisiones importantes ya se han tomado.
El RGPD establece que debe participar de forma adecuada y en tiempo oportuno en las cuestiones relativas a la protección de datos personales.
Por ejemplo, puede ser conveniente su participación antes de:
implantar una nueva aplicación;
contratar determinados proveedores;
modificar una finalidad;
desarrollar un nuevo producto;
utilizar determinadas tecnologías;
iniciar tratamientos de mayor riesgo;
cambiar procedimientos;
o diseñar sistemas que impliquen tratamiento de datos personales.
Esta participación favorece la protección de datos desde las primeras fases de los proyectos.
Para que la figura pueda funcionar no basta con realizar un nombramiento formal.
La organización debe respaldar al DPD.
Esto implica facilitar los recursos necesarios para desempeñar sus funciones, acceso a los datos personales y operaciones de tratamiento cuando resulte necesario y medios para mantener sus conocimientos especializados.
La dedicación requerida dependerá de factores como la complejidad y volumen de los tratamientos y los riesgos existentes.
El DPD puede desarrollar otras funciones y cometidos, siempre que no generen un conflicto de intereses.
Este aspecto resulta especialmente importante.
No sería coherente que la misma persona determinara de manera incompatible determinadas finalidades y medios del tratamiento y posteriormente tuviera que supervisar con independencia esas mismas decisiones.
Los posibles conflictos deben analizarse atendiendo a la estructura y funciones concretas existentes.
El RGPD permite ambas posibilidades.
Puede formar parte de la plantilla del responsable o encargado.
En este caso deben garantizarse igualmente su independencia, recursos, acceso y ausencia de conflictos de intereses.
También puede desarrollar sus funciones mediante un contrato de servicios.
Esta opción permite disponer de un profesional o equipo especializado sin incorporar necesariamente una persona dedicada exclusivamente a la plantilla.
En ambos casos deben respetarse las mismas funciones y principios esenciales establecidos por el RGPD.
El servicio externo puede resultar adecuado para organizaciones que necesitan la figura pero no requieren necesariamente un puesto interno a jornada completa.
Puede facilitar:
acceso a conocimientos especializados;
continuidad del asesoramiento;
una perspectiva externa;
apoyo en cuestiones complejas;
seguimiento de las obligaciones;
y una estructura definida de comunicación con la organización.
Sin embargo, contratar externamente la función no elimina las responsabilidades del responsable o encargado.
El DPD necesita colaboración e información de la propia organización para desempeñar correctamente sus funciones.
No.
La normativa exige que sea designado atendiendo a sus cualidades profesionales y, especialmente, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar sus funciones.
En España existe un esquema de certificación de Delegados de Protección de Datos promovido por la AEPD en colaboración con ENAC.
Esta certificación constituye un mecanismo para acreditar conocimientos y competencias profesionales.
Pero es voluntaria.
Por tanto, una persona puede ejercer como DPD sin disponer de esta certificación siempre que reúna las cualidades profesionales y capacidad necesarias.
Cuando una persona dispone de una certificación expedida dentro del esquema correspondiente, significa que sus competencias han sido certificadas por una entidad de certificación acreditada conforme al sistema establecido.
Esto puede aportar una evidencia adicional sobre su cualificación profesional.
Pero debe diferenciarse entre:
“ser DPD”
y
“disponer de una certificación profesional de DPD”.
La segunda no es un requisito obligatorio para la primera.
Si el profesional que presta el servicio dispone de una certificación vigente dentro del Esquema AEPD-DPD, puede indicarse esa circunstancia de forma precisa, identificando correctamente la naturaleza de la certificación.
Nuestro servicio está orientado a organizaciones que necesitan externalizar las funciones del DPD.
El alcance concreto debe adaptarse a la organización, pero puede comprender las funciones legalmente atribuidas al delegado y el seguimiento necesario para desarrollarlas.
El DPD puede supervisar diferentes elementos del sistema de cumplimiento.
Entre ellos pueden encontrarse:
tratamientos;
políticas;
procedimientos;
asignación de responsabilidades;
información;
medidas;
formación;
auditorías;
y otros elementos relevantes.
La supervisión debe adaptarse a la realidad de la organización.
El DPD puede utilizar el Registro de Actividades de Tratamiento (RAT) como una fuente fundamental para conocer los tratamientos de la organización.
Sin embargo, elaborar y mantener el RAT continúa siendo una obligación que corresponde al responsable o encargado en los términos establecidos por el RGPD.
El DPD puede asesorar y supervisar su correcta gestión.
La supervisión del cumplimiento requiere comprender los riesgos asociados a los tratamientos.
El DPD puede asesorar sobre las cuestiones de protección de datos relacionadas con estos procesos y comprobar que las decisiones adoptadas sean coherentes con las obligaciones aplicables.
Puedes consultar nuestra página sobre Análisis de Riesgos RGPD .
Las medidas de protección deben adaptarse a los riesgos existentes.
El DPD puede supervisar desde la perspectiva de protección de datos si la organización dispone de procesos adecuados para determinar, aplicar y revisar esas medidas.
Esto no significa que el DPD deba convertirse necesariamente en administrador de sistemas, responsable de ciberseguridad o técnico informático.
La separación de funciones puede ser importante para mantener una supervisión independiente.
Puedes ampliar este ámbito en Medidas Técnicas y Organizativas RGPD .
Cuando se produce un posible incidente que afecta a datos personales, el DPD debe participar adecuadamente en las cuestiones de protección de datos relacionadas con su evaluación y gestión.
Puede asesorar sobre:
naturaleza de la brecha;
datos afectados;
posibles consecuencias;
evaluación del riesgo;
documentación;
posible notificación a la autoridad;
y posible comunicación a las personas afectadas.
No obstante, la obligación jurídica de notificar una brecha corresponde al responsable del tratamiento cuando concurren los requisitos establecidos por el RGPD.
Por ello no sería correcto afirmar que “el DPD tiene 72 horas para notificar todas las brechas”.
La página Ciberataques y RGPD desarrolla con mayor detalle la gestión de este tipo de incidentes.
La concienciación y formación de las personas que participan en los tratamientos se encuentra expresamente relacionada con las funciones de supervisión del DPD.
El delegado puede contribuir a determinar las necesidades formativas y supervisar que la organización adopte las medidas apropiadas.
La formación debe adaptarse a las funciones y riesgos reales.
Puedes ampliar esta cuestión en Formación RGPD para Empresas .
Las funciones de supervisión del DPD incluyen también las auditorías correspondientes.
Esto no significa que exista una obligación universal de realizar una auditoría externa anual para todas las organizaciones.
La frecuencia, alcance y metodología de las revisiones debe responder a las características del sistema y a las obligaciones aplicables.
Puedes consultar nuestra página sobre Auditoría RGPD en Málaga .
El Delegado de Protección de Datos puede desempeñar un papel muy importante dentro del sistema de responsabilidad proactiva de una organización.
Puede ayudar a:
identificar cuestiones que necesitan atención;
asesorar sobre obligaciones;
supervisar medidas;
formular recomendaciones;
detectar desviaciones;
promover la concienciación;
y proporcionar una visión especializada a la dirección.
Pero la responsabilidad proactiva sigue perteneciendo a la organización.
Puedes ampliar este concepto en Responsabilidad Proactiva RGPD .
Cuando una organización designa formalmente un Delegado de Protección de Datos, sus datos de contacto deben publicarse y comunicarse a la autoridad de control correspondiente.
En España, la LOPDGDD establece además un plazo de diez días para comunicar a la autoridad competente las designaciones, nombramientos y ceses del DPD, tanto cuando su designación es obligatoria como cuando se realiza voluntariamente.
Por ello, el servicio de DPD externo puede incluir apoyo en la formalización y comunicación de la designación.
El RGPD exige publicar los datos de contacto del Delegado de Protección de Datos.
El objetivo es permitir que las personas puedan contactar con él fácilmente.
La obligación se centra en disponer de un canal de contacto efectivo.
La configuración concreta debe respetar las obligaciones aplicables y permitir al DPD desarrollar adecuadamente su función como punto de contacto.
La legislación española reconoce expresamente al Delegado de Protección de Datos como interlocutor del responsable o encargado ante la AEPD y las autoridades autonómicas correspondientes.
Esto no significa que el DPD sustituya jurídicamente a la organización en todas sus relaciones con la autoridad.
Su papel es el de interlocución, cooperación y punto de contacto dentro del ámbito de sus funciones.
Cuando una organización ha designado DPD, las personas pueden dirigirse a él en relación con cuestiones relativas al tratamiento de sus datos.
La legislación española contempla además su intervención en determinadas reclamaciones.
Esto proporciona un canal especializado que puede facilitar el análisis y resolución de cuestiones relacionadas con protección de datos antes o durante determinadas actuaciones ante la autoridad.
El RGPD permite que un grupo empresarial designe un único Delegado de Protección de Datos siempre que sea fácilmente accesible desde cada establecimiento.
Por tanto, no siempre es necesario que cada sociedad disponga de una persona diferente.
La estructura debe diseñarse de manera que el DPD pueda desempeñar eficazmente sus funciones respecto de las entidades correspondientes.
El RGPD contempla también la posibilidad de designar un único DPD para varias autoridades u organismos públicos teniendo en cuenta su estructura organizativa y tamaño.
La solución concreta debe permitir que las funciones se desarrollen adecuadamente.
Conocemos la organización, sus tratamientos, estructura, responsables internos, sistemas y principales necesidades.
Determinamos los canales de comunicación, interlocutores, recursos y dinámica necesaria para desarrollar las funciones del DPD.
Cuando corresponde, se formaliza la designación del DPD y se prepara su comunicación a la autoridad competente.
Analizamos la situación existente para conocer los tratamientos y principales áreas que requieren supervisión.
Establecemos prioridades de seguimiento atendiendo a las características, cambios y riesgos de la organización.
Atendemos las cuestiones de protección de datos que deben ser analizadas por el DPD.
Realizamos las actuaciones de supervisión necesarias dentro del alcance y funciones correspondientes.
El DPD debe ser involucrado adecuadamente y a tiempo en cuestiones relacionadas con protección de datos.
Mantenemos los canales necesarios con las personas interesadas y con la autoridad de control dentro de las funciones del DPD.
La función del DPD no debe limitarse al momento de su designación.
Debe mantenerse integrada en el funcionamiento de la organización.
Prestamos servicio de Delegado de Protección de Datos externo a organizaciones que necesitan disponer de esta figura sin incorporarla necesariamente como un puesto interno.
Antes de formalizar la designación es importante determinar:
¿Existe obligación de nombrar DPD?
¿La designación será voluntaria?
¿Qué tratamientos realiza la organización?
¿Qué dedicación necesita?
¿Quiénes serán los interlocutores internos?
¿Qué recursos requiere?
¿Existen posibles conflictos de intereses?
¿Qué proyectos o tratamientos necesitan especial seguimiento?
Responder correctamente a estas preguntas permite configurar un servicio proporcionado a la realidad de cada organización.
Designar un Delegado de Protección de Datos no consiste simplemente en comunicar un nombre a la AEPD.
La figura debe funcionar realmente.
Debe tener acceso a la información necesaria.
Debe participar a tiempo.
Debe disponer de recursos.
Debe poder comunicarse con la dirección.
Debe mantener su independencia.
Debe poder formular recomendaciones.
Y la organización debe tener en cuenta adecuadamente su intervención.
Un DPD útil no sustituye al responsable ni toma todas las decisiones por él.
Su función es aportar conocimiento especializado y supervisión independiente para ayudar a que la protección de datos forme parte de la gestión real de la organización.
Ese es el objetivo: una figura efectiva, accesible e independiente, integrada en el sistema de cumplimiento y capaz de desarrollar las funciones que el RGPD le atribuye.
No. La obligación depende de los supuestos establecidos por el RGPD y, en España, de los casos adicionales previstos por la LOPDGDD. Entre otros supuestos, puede resultar obligatorio para autoridades y organismos públicos, organizaciones cuyas actividades principales impliquen observación habitual y sistemática de personas a gran escala o tratamientos a gran escala de determinadas categorías de datos. La legislación española establece además determinados sectores y entidades que deben designarlo.
Ninguna respecto a la figura. DPD significa Delegado de Protección de Datos y DPO corresponde a la denominación inglesa Data Protection Officer. En España, la normativa y la AEPD utilizan habitualmente la denominación DPD.
Sí. Una organización puede designar voluntariamente un Delegado de Protección de Datos. Cuando lo hace, deben respetarse las disposiciones aplicables a su designación, posición y funciones como si el nombramiento hubiera sido obligatorio.
No. El DPD debe reunir las cualidades profesionales, conocimientos especializados y capacidad necesarios para desempeñar sus funciones. En España existe un esquema de certificación de Delegados de Protección de Datos, pero la certificación tiene carácter voluntario y no constituye un requisito legal para ejercer como DPD.
Sí. El RGPD permite que el DPD forme parte de la plantilla o que desempeñe sus funciones mediante un contrato de servicios. En ambos casos deben respetarse su independencia, ausencia de conflictos de intereses, recursos y posición dentro del sistema de cumplimiento.
La designación de un DPD no traslada al delegado las responsabilidades que corresponden al responsable o al encargado del tratamiento. El DPD informa, asesora y supervisa, pero la organización continúa siendo responsable de las decisiones y obligaciones que le corresponden.
Sí. En España, los responsables y encargados deben comunicar a la AEPD o, cuando corresponda, a la autoridad autonómica competente las designaciones, nombramientos y ceses del DPD en el plazo legal establecido, tanto si su designación es obligatoria como si se ha realizado voluntariamente.
Entre sus funciones se encuentran informar y asesorar sobre las obligaciones en materia de protección de datos, supervisar el cumplimiento, asesorar sobre las Evaluaciones de Impacto y supervisar su aplicación, cooperar con la autoridad de control y actuar como punto de contacto. También debe desarrollar sus funciones teniendo en cuenta los riesgos asociados a las operaciones de tratamiento.
En RGPD Málaga analizamos si tu organización se encuentra entre los supuestos que requieren la designación de un DPD y, cuando corresponde, podemos prestar el servicio de Delegado de Protección de Datos externo. También podemos asumir la función mediante designación voluntaria, estableciendo un servicio adaptado a los tratamientos, estructura, riesgos y necesidades reales de la organización.
Consultar servicio DPO