TL;DR
El delegado es obligatorio en los tres casos del art. 37.1 RGPD y, además, en los dieciséis supuestos del art. 34.1 LOPDGDD. La designación voluntaria del art. 34.2 somete a la entidad al mismo régimen del RGPD. En ambos casos —obligatoria y voluntaria— hay que comunicar designaciones y ceses a la AEPD en el plazo de diez días (art. 34.3), y la lista de delegados es pública y accesible por medios electrónicos (art. 34.4).
Dos listas que se suman, no que se eligen
El art. 37.1 RGPD impone el delegado en tres situaciones: cuando el tratamiento lo lleva a cabo una autoridad u organismo público; cuando las actividades principales consisten en operaciones que requieren una observación habitual y sistemática de interesados a gran escala; y cuando consisten en el tratamiento a gran escala de categorías especiales del art. 9 o de datos del art. 10. El art. 34.1 LOPDGDD reproduce esa remisión y añade «y, en todo caso, cuando se trate de las siguientes entidades». La conjunción importa: no son dieciséis supuestos en lugar de los tres, son dieciséis además de los tres. Una entidad que no figure en ninguna de las letras puede seguir estando obligada por el art. 37.1, y a la inversa.
Las dieciséis letras
- a) Colegios profesionales y sus consejos generales. b) Centros docentes de cualquier nivel y universidades públicas y privadas.
- c) Entidades que exploten redes y presten servicios de comunicaciones electrónicas, cuando traten habitual y sistemáticamente datos a gran escala. d) Prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios.
- e) Entidades del art. 1 de la Ley 10/2014 (entidades de crédito). f) Establecimientos financieros de crédito. g) Entidades aseguradoras y reaseguradoras. h) Empresas de servicios de inversión.
- i) Distribuidores y comercializadores de energía eléctrica y de gas natural. j) Responsables de ficheros comunes de solvencia patrimonial y crédito, o de prevención del fraude, incluidos los de prevención del blanqueo.
- k) Entidades de publicidad y prospección comercial cuando traten preferencias o elaboren perfiles. l) Centros sanitarios obligados al mantenimiento de historias clínicas —con la excepción expresa del profesional de la salud que ejerce a título individual.
- m) Entidades que emitan informes comerciales referidos a personas físicas. n) Operadores de juego por canales electrónicos. ñ) Empresas de seguridad privada. o) Federaciones deportivas cuando traten datos de menores.
La designación voluntaria no es un gesto de buena voluntad
El art. 34.2 dice que quien no esté obligado «podrá designar de manera voluntaria» un delegado, «que quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica». Es decir: independencia, ausencia de conflicto de intereses, recursos, imposibilidad de sancionarlo por el ejercicio de sus funciones, y reporte al más alto nivel. Y el art. 34.3 obliga a comunicar la designación a la AEPD en diez días «tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria». Nombrar a alguien DPD en una firma de correo y no comunicarlo es un incumplimiento que se detecta en un minuto.
Conviene además leer el art. 34.4 al lado del anterior: la AEPD y las autoridades autonómicas mantienen una lista actualizada de delegados accesible por medios electrónicos. La consecuencia práctica es que la afirmación «tenemos delegado» es comprobable por cualquiera, incluido un cliente que esté valorando contratar y un competidor que esté preparando una reclamación. No es un registro interno: es público.
Por último, el art. 34.5 permite la dedicación completa o a tiempo parcial en función, entre otros criterios, del volumen de los tratamientos, de las categorías especiales tratadas o de los riesgos para los interesados. No es una autorización genérica a la dedicación mínima: es un criterio que hay que razonar y que conviene dejar documentado, porque es exactamente lo que se pregunta cuando un delegado no ha podido atender algo a tiempo.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
