SOY AUTÓNOMO O PYME, ¿NECESITO UN DPO?

Una de las principales cuestiones que se suscitan entre autónomos y PYMES con la entrada en vigor del RGPD es la necesidad de contratar un Delegado de Protección de Datos, y ello debido a que la normativa europea es poco precisa a la hora de determinar la obligación de designarlo. Pero en primer lugar debemos saber que es un DPD o DPO:

¿Qué es un DPO/DPD?

La figura del Delegado de Protección de Datos (DPD) o Data Protection Officer (DPO) no es nueva en Europa, existiendo en algunos estados miembros de la UE desde hace años como Alemania o Francia.

Podemos definir la figura del DPO como un encargado de supervisar el cumplimiento de las obligaciones legales del responsable o encargado del tratamiento de los datos personales. Como se explicará más adelante, sus funciones deberán ser desempeñadas con independencia debiendo tener un perfil jurídico y conocimientos técnicos sin que se exija una titulación concreta para ello.

¿Cuándo se debe nombrar un DPO?

El artículo 37.1 del Reglamento europeo regula la figura del Delegado de Protección de Datos estableciendo que será obligatoria esta figura en los siguientes supuestos:

• Cuando el tratamiento se lleve a cabo por una autoridad u organismo público, excepto por los tribunales en el ejercicio de sus funciones. Aquí debemos incluir a las administraciones públicas, Administración General del Estado, Comunidades Autónomas y Entidades Locales; Asociaciones, fundaciones, empresas; Juntas de Compensación, Colegios Profesionales.
• Cuando las actividades principales del responsable o del encargado, aquellas que son clave para lograr sus objetivos, consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala. Aquí podemos incluir a actividades como la creación de perfiles, cuando sean actividades principales del responsable o del encargado.

El concepto de «gran escala» es un concepto que lleva a confusión porque ¿a qué tipo de tratamientos podemos definir como a gran escala?

En un principio este concepto puede llevar a pensar que existe un número de partida para considerar gran escala, sin embargo, no se basa dicho concepto exclusivamente en valores numéricos pudiendo determinarse en base a cuatro criterios:

1. Número de interesados, tanto en el número como en el porcentaje de población afectado en una zona concreta.
2. Volumen de datos.
3. Duración del tratamiento de datos.
4. Alcance geográfico.

Respecto de seguimiento regular y sistemático, tampoco el RGPD establece qué es un seguimiento regular y sistemático pudiendo determinarse en las actividades tales como operar en una red de telecomunicaciones, servicios de telecomunicaciones, redireccionamiento de correos electrónicos, creación de perfiles, las cámaras de videovigilancia, una app de salud que conlleva un seguimiento, dispositivos conectados así como internet de las cosas: coches inteligentes, domótica, contadores inteligentes de luz, etc.

• Cuando las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 (esto es, datos personales que revelen origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas o la pertenencia a sindicatos, tratamiento de datos genéticos, datos biométricos para la identificación exclusiva de persona físicas, datos relativos a la salud o datos referentes a la vida sexual o a la orientación sexual de las personas) y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10. En este sentido, no se consideraría tratamiento a gran escala el llevado a cabo por un solo médico o abogado.

Por su parte, la Ley Orgánica 3/2018,  de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en su artículo 34 «Designación de un delegado de protección de datos», dice lo siguiente en cuanto a su nombramiento:

1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades:

• Colegios profesionales y sus consejos generales.
• Centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
• Entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
• Prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
• Entidades de crédito.
• Establecimientos financieros de crédito.
• Entidades aseguradoras y reaseguradoras.
• Empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
• Distribuidores y comercializadores de energía eléctrica y de gas natural.
• Entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
• Entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
• Centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Exceptuando los profesionales de la salud que, aún estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
• Entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
• Operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
• Empresas de Seguridad Privada.
• Federaciones deportivas cuando traten datos de menores de edad.
• Aquellas empresas que no figuren en este listado pueden designar voluntariamente un delegado de protección de datos.

Teniendo en cuenta la normativa existente a fecha de hoy si eres un autónomo o PYME que trata datos de carácter personal a gran escala de forma sistemática y habitual, gran cantidad de datos especialmente protegidos (datos que revelen origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas o la pertenencia a sindicatos, tratamiento de datos genéticos, datos biométricos para la identificación exclusiva de persona físicas, datos relativos a la salud o datos referentes a la vida sexual o a la orientación sexual de las personas) o datos relativas a condenas penales, necesitarás designar un DPO, salvo que se trate de un solo médico o abogado en cuyo caso se encuentra exonerado.

¿Quién puede ser un DPO? ¿Tiene que ser interno o puede ser externo?

El DPO debe ser una persona que reúna una serie de cualidades profesionales específicas para poder desempeñar las funciones asignadas con las mayores garantías. En este sentido, el RGPD establece que tenga un perfil jurídico con conocimientos en protección de datos, así como conocimiento de la legislación nacional y comunitaria. Aunque no se establezca expresamente en el RGPD, será importante que el DPO tenga un mínimo de conocimientos técnicos, sobre seguridad y tecnologías de la información. Debe tener conocimientos en gestión de riesgos de la información, dado que es el responsable de supervisar la realización de las evaluaciones de impacto, así como participar en el diseño de los sistemas de información. Así mismo debe de ser una persona íntegra con ética personal, capaz de comunicación eficaz y gestión de equipos, con capacidad de negociación y resolución de conflictos, con iniciativa y proactividad, capaz de mantener el deber de confidencialidad, imparcialidad e independencia.

Que por tanto un DPO debería acreditar como mínimo, una titulación universitaria oficial relacionada con ciencias jurídicas y relacionadas con sistemas de información, o algún tipo de postgrado especializado en privacidad o certificación privada (u oficial si en algún momento sale a la luz) y una determinada experiencia en las cualidades profesionales e interpersonales señaladas previamente.

Respecto de si debe ser un trabajador de la empresa o un tercero externo, ambas posibilidades son posibles, exigiendo en todo caso para el DPO interno independencia en la realización de su trabajo, siendo en este caso un trabajador protegido en lo referente al cese o despido. Así mismo el RGPD permite que el DPO sea una única persona o un órgano colegiado formado por un equipo multidisciplinar.

¿Qué pasa si estoy obligado a nombrar a DPO y no lo hago?

Conforme al RGPD el no nombrar DPO estando obligado a ello, supondrá la comisión de una infracción de los principios básicos para el tratamiento, pudiendo ser sancionado conforme al art 83.5 del RGPD a una multa de 0 a 20.000.000 € con el máximo del 4% del total anual global del ejercicio financiero optando siempre por la mayor cuantía. Por su parte el Proyecto de LOPD determina dicha infracción como grave, remitiéndose al RGPD en lo referente a la sanción.

Patricia Muñoz Burrezo.