Desde que el Reglamento General de Protección de Datos (RGPD) entró en nuestras vidas, las empresas han tenido que aprender un nuevo vocabulario. Entre todas las siglas, hay una que destaca por su importancia estratégica y legal: el DPO (Data Protection Officer) o DPD (Delegado de Protección de Datos).
Esta figura actúa como un auditor independiente dentro (o fuera) de la organización. Su trabajo no es defender a la empresa a toda costa, sino garantizar que se cumple la ley y actuar de enlace con la Agencia Española de Protección de Datos (AEPD).
Pero, ¿es obligatorio para todos? No. ¿Es recomendable? Casi siempre. Vamos a ver quiénes están en la «lista roja» de obligados.
La Regla General del RGPD (Nivel Europeo)
El reglamento europeo marca tres casos básicos donde el DPO es obligatorio sí o sí:
- Organismos Públicos: Todos. Desde un Ayuntamiento pequeño hasta un Ministerio, pasando por colegios públicos y universidades.
- Observación habitual y sistemática a gran escala: Si el negocio principal de tu empresa consiste en monitorizar personas.
- Ejemplo: Empresas de seguridad, apps de geolocalización, aseguradoras que rastrean hábitos de conducción, empresas de marketing que hacen perfiles de comportamiento.
- Datos Sensibles a gran escala: Si tu actividad principal es tratar datos de salud, vida sexual, religión, origen étnico o antecedentes penales.
- Ejemplo: Hospitales, clínicas privadas grandes, sindicatos.
La «Lista Específica» Española (La clave para las PYMES)
Como la norma europea era un poco ambigua con eso de «gran escala», la Ley Orgánica española (LOPDGDD) publicó en su artículo 34 una lista concreta de sectores que SIEMPRE necesitan un DPO, independientemente de su tamaño.
Si tu empresa está en uno de estos sectores, necesitas un DPO ya:
- Centros Docentes: Colegios, institutos y universidades (públicos y privados) que ofrezcan enseñanzas regladas.
- Centros Sanitarios: Hospitales y clínicas. (Nota: Los profesionales individuales, como un dentista que trabaja solo en su consulta, suelen estar exentos, pero una clínica con varios médicos no).
- Seguridad Privada: Empresas de vigilantes y centrales receptoras de alarmas.
- Banca y Seguros: Entidades financieras, aseguradoras y reaseguradoras.
- Suministros: Empresas que comercializan y distribuyen electricidad, gas o agua (por el análisis de consumo de los hogares).
- Publicidad y Marketing: Empresas que hacen perfiles comerciales basados en datos obtenidos de terceros o mediante cookies invasivas.
- Colegios Profesionales: Abogados, médicos, arquitectos, etc.
- Juego Online: Empresas de apuestas y juegos de azar.
¿El DPO tiene que ser un empleado?
Esta es la buena noticia: No necesariamente.
La ley permite dos modalidades:
- DPO Interno: Un empleado de la plantilla. Ojo, no puede ser el gerente, ni el jefe de IT, ni el de Marketing, porque habría conflicto de intereses (no pueden auditarse a sí mismos). Debe tener conocimientos jurídicos y técnicos.
- DPO Externo: Puedes contratar este servicio a una consultora o despacho de abogados especializado. Es la opción más común para las PYMES, ya que es más económico que tener a alguien en nómina y garantiza independencia.
¿Qué pasa si estoy obligado y no lo tengo?
No nombrar a un DPO cuando es obligatorio se considera una infracción grave.
Las multas de la AEPD por este motivo son frecuentes y dolorosas. Además, el DPO debe ser inscrito oficialmente en el registro de la Agencia. No vale con decir «sí, es Pepe, el de contabilidad». Si no está comunicado a la AEPD, legalmente no existe.
Conclusión: Un valor añadido
Aunque tu empresa no esté en la lista de obligados, designar un DPO voluntario es una señal de prestigio y confianza. Le dice a tus clientes: «Nos tomamos tan en serio tu privacidad que tenemos a un experto vigilando«.
En un mundo donde los datos son el nuevo petróleo, tener un buen DPO es como tener un buen ingeniero de seguridad en una refinería: evita fugas, explosiones y multas millonarias.
