Delegado de protección de datos en Valencia: en Gesdata Consulting asumimos la función de delegado de protección de datos (DPD o DPO, por sus siglas en inglés) de tu organización como DPO externo, mediante un contrato de servicios, tal como permite el artículo 37.6 del RGPD. Nos ocupamos de asesorarte, supervisar el cumplimiento, atender a las personas que ejercen sus derechos y ser tu interlocutor con la Agencia Española de Protección de Datos (AEPD).
Qué es el delegado de protección de datos
El delegado de protección de datos es la persona que asesora y supervisa a una organización en el cumplimiento del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica 3/2018 (LOPDGDD). Debe tener conocimientos especializados en derecho y práctica de protección de datos y actuar con independencia: no recibe instrucciones sobre cómo desempeñar sus funciones, rinde cuentas al más alto nivel de la dirección y no puede ser destituido por ejercerlas (artículo 38 del RGPD).
Quién está obligado a nombrar un delegado de protección de datos
El artículo 37 del RGPD obliga a designar un DPD cuando:
- el tratamiento lo realiza una autoridad u organismo público;
- la actividad principal exige una observación habitual y sistemática de personas a gran escala;
- la actividad principal consiste en tratar a gran escala categorías especiales de datos (salud, biométricos…) o datos penales.
El artículo 34.1 de la LOPDGDD concreta además una lista de entidades que deben nombrarlo en todo caso. Entre ellas:
Sector
Entidades obligadas (resumen del art. 34.1 LOPDGDD)
Sanidad
Centros sanitarios obligados a mantener historias clínicas, salvo los profesionales que ejercen a título individual
Educación
Centros docentes de enseñanzas regladas y universidades públicas y privadas
Colegios y deporte
Colegios profesionales y sus consejos generales; federaciones deportivas que traten datos de menores
Finanzas y seguros
Entidades de crédito, establecimientos financieros de crédito, aseguradoras y reaseguradoras y empresas de servicios de inversión
Telecomunicaciones y servicios digitales
Operadores de comunicaciones electrónicas y prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala
Otros
Distribuidoras y comercializadoras de electricidad y gas, ficheros de solvencia y fraude, publicidad y prospección con perfiles, informes comerciales, juego en línea y seguridad privada
Si tu entidad no está en estos supuestos, nombrar un delegado de protección de datos externo es voluntario, pero muchas empresas deciden contratar DPO para contar con un experto que vigile el cumplimiento de forma continuada.
Funciones del DPO externo
El artículo 39 del RGPD y los artículos 36 y 37 de la LOPDGDD fijan las funciones mínimas. En nuestro servicio de delegado de protección de datos en Valencia las concretamos así:
1
Asesoramiento continuo
Resolvemos tus consultas sobre protección de datos y seguridad de la información, también sobre nuevos proyectos, proveedores y tecnologías.
2
Supervisión del cumplimiento
Revisamos periódicamente el registro de actividades, la información a los interesados, la política de seguridad y los contratos con encargados.
3
Evaluación de riesgos y EIPD
Verificamos que los riesgos están en un nivel aceptable y asesoramos sobre la evaluación de impacto de protección de datos cuando un tratamiento la requiere.
4
Políticas y procedimientos
Mantenemos actualizados los protocolos de derechos, brechas de seguridad, teletrabajo, dispositivos móviles, accesos remotos y selección de personal.
5
Atención a los interesados
Somos el punto de contacto de las personas cuyos datos tratas y te ayudamos a responder sus solicitudes en plazo.
6
Relación con la AEPD
Actuamos como interlocutor con la autoridad, atendemos las reclamaciones que te traslade y te asistimos en inspecciones.
7
Formación y novedades
Formamos al personal y te informamos de los cambios normativos y de los criterios de la AEPD que te afectan.
Cómo funciona nuestro servicio de DPO externo
1
Diagnóstico inicial
Revisamos el estado de tu adaptación al RGPD. Si hay carencias, las corregimos con nuestra consultoría de protección de datos antes de asumir la supervisión.
2
Designación y comunicación
Formalizamos el contrato, documentamos la designación y la comunicamos a la AEPD.
3
Plan anual
Fijamos un calendario de revisiones, formación y seguimiento adaptado a tus tratamientos.
4
Seguimiento continuo
Atendemos consultas, revisamos cambios y documentamos cada actuación.
5
Informe a la dirección
Informamos periódicamente a la dirección del estado del cumplimiento y de los riesgos detectados.
DPO externo o interno: qué conviene
Criterio
DPO interno
DPO externo
Conocimiento especializado
Requiere formación y actualización constantes
Equipo dedicado a la protección de datos
Independencia
Riesgo de conflicto de intereses si ocupa otro cargo
Independencia por contrato
Coste
Salario y formación de un perfil escaso
Cuota de servicio ajustada al tamaño de la entidad
Continuidad
Depende de una sola persona
Equipo con suplencias
Un detalle importante: en Gesdata, cuando un cliente contrata a la vez el DPO externo y el servicio de CISO externo, los prestan personas distintas, con funciones separadas e informes independientes a la dirección. Explicamos por qué en el artículo CISO y DPO: diferencias, funciones e incompatibilidades.
Preguntas frecuentes sobre el delegado de protección de datos
¿Puede una pyme contratar DPO aunque no esté obligada?
Sí. El nombramiento voluntario está previsto en el artículo 34.2 de la LOPDGDD. Si lo nombras, el DPD tiene las mismas funciones y garantías que en los casos obligatorios.
¿Hay que comunicar el nombramiento a la AEPD?
Sí. El nombramiento, la designación y el cese del delegado de protección de datos se comunican a la AEPD, o a la autoridad autonómica competente, en un plazo de diez días.
¿El DPD responde de las multas de la empresa?
No. El responsable y el encargado del tratamiento son quienes responden del cumplimiento. El DPD asesora y supervisa, pero no asume esa responsabilidad.
¿Qué pasa si una persona presenta una reclamación?
Antes de reclamar ante la AEPD, la persona puede dirigirse al DPD. Si reclama directamente, la AEPD puede trasladar la reclamación al DPD, que debe responder en el plazo de un mes (artículo 37 de la LOPDGDD).
¿Puede el DPO ser también el responsable de seguridad o el CISO?
La norma no lo prohíbe expresamente, pero el DPD no puede tener funciones que generen conflicto de intereses, como decidir los fines y medios del tratamiento o las medidas de seguridad que después debe supervisar. Por eso recomendamos separar ambos roles.
¿Trabajáis fuera de Valencia?
Nuestra oficina está en Sueca y prestamos el servicio de DPO externo en la provincia de Valencia de forma presencial, y en el resto de España en remoto.
Solicita información sobre nuestro servicio de DPO externo
Si estás pensando en contratar DPO, te explicamos si estás obligado a nombrar un delegado de protección de datos y cómo trabajaríamos con tu organización.
Solicitar información