- ¿Qué pymes están obligadas a tener un Delegado de Protección de Datos?
- Contratar un Delegado de Protección de Datos puede suponer entre 250 y 1.000 euros al año
- Sanciones de entre 10.000 y 50.000 euros por no tener contratado un Delegado de Protección de Datos
El Reglamento de Protección de Datos (RGPD) incluye una obligación desconocida para muchas pymes: tener contratado un Delegado de Protección de Datos. Esta figura es uno de los elementos claves del reglamento y sirve para que determinadas empresas cumplan con la normativa, como explicaron a este medio en la Agencia Española de Protección de Datos (AEPD).
Este trabajador funciona como nexo entre la empresa y la AEPD, verificando que el tratamiento de datos que se hace en el negocio o compañía es acorde a la normativa. De forma que se proteja la seguridad y la privacidad de la información de clientes y usuarios.
En concreto, supervisa el cumplimiento normativo, asesora sobre evaluaciones para mitigar riesgos en el tratamiento de datos y ayuda a identificar posibles amenazas, proporcionando también contacto directo con la AEPD.
Si bien esta obligación entró en vigor con la puesta en marcha del reglamento –aumentando ampliamente los casos en que es necesaria su incorporación–, su papel clave se está consolidando con las nuevas especificaciones por parte de la AEPD ante el auge de la IA (por ejemplo, con el uso de agentes para tratar datos). Estas precisan un enfoque reforzado en la supervisión de datos biométricos, el cumplimiento del derecho de supresión de datos y la gestión proactiva de brechas de seguridad.
¿Qué pymes están obligadas a tener un Delegado de Protección de Datos?
Según apuntaron en la AEPD, va a depender del tratamiento de los datos que haga la empresa que esta necesite obligatoriamente o no de un delegado.
El artículo 37.1 del RGPD recoge los supuestos en que es obligatorio la designación de un Delegado de Protección de Datos. El primero de ellos es que la actividad o actividades principales de la pyme consistan en el tratamiento de datos u operaciones en los que, por los fines del negocio, se realice una observación “habitual y sistemática” de grandes cantidades de datos.
Pero, de manera más específica, el texto aclara que también es necesario en el caso de empresas como las siguientes:
- Los colegios profesionales y sus consejos generales.
- Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, si tratan de manera habitual y sistemática datos personales a gran escala.
- Los establecimientos financieros de crédito.
- Aseguradoras y reaseguradoras.
- Empresas desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados “cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles”.
- Centros sanitarios obligados al mantenimiento de las historias clínicas de los pacientes, salvo en el caso de profesionales que ejerzan la actividad a título individual.
- Entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
- Empresas dedicadas a desarrollar la actividad de juego, ya sea a través de canales electrónicos, informáticos, telemáticos o interactivos.
- Las empresas de seguridad privada.
Con carácter general y según las fuentes consultadas, debido a las características de esta clasificación, las microempresas quedarán fuera de este cumplimiento. Pero, en principio, el tamaño no es un indicativo que exima de su cumplimiento, por lo que las pymes que queden encuadradas dentro de estos requisitos tendrán que contar con un delegado, aunque no sean grandes empresas o entidades y cuenten con menos de 250 trabajadores.
Adicionalmente, el Delegado de Protección de Datos también puede ser designado de manera voluntaria. Asimismo, aquellos responsables y encargados del tratamiento de datos tendrán que avisar a la AEPD en un plazo de diez días de las designaciones o nombramientos, ya sea su implementación en la pyme obligatoria o voluntaria.
En ese sentido, negocios como pequeñas consultoras; estudios de diseño; pequeños comercios electrónicos; academias de tamaño reducido no regladas; profesionales autónomos o empresas que tratan un volumen de datos sensibles es reducido y puntual, no están obligados a tener contratado este empleado.
¿Cuáles son las funciones concretas del Delegado de Protección de Datos?
Las funciones concretas de esta figura en las empresas son las siguientes:
- Informar y asesorar al responsable o los empleados encargados del tratamiento de datos, de las obligaciones del RPGD y el resto de la normativa aplicable en protección de datos.
- Supervisar el cumplimiento del reglamento y de las obligaciones a cumplir por parte de los empleados que se dediquen a tratar los datos, incluyendo “la asignación de responsabilidades, la concienciación y formación del personal que participa en operaciones de tratamiento y las auditorías correspondientes”.
- Ofrecer el asesoramiento que se solicite en cuanto a las evaluaciones que se realicen en protección de datos.
- Cooperar con la autoridad de control (AEPD) y realizar las consultas necesarias a la misma.
Contratar un Delegado de Protección de Datos puede suponer entre 250 y 1.000 euros al año
Este perfil profesional debe nombrarse atendiendo a sus cualidades profesionales. En concreto, debe contar con conocimientos especializados del Derecho y práctica en protección de datos, aunque, más allá, no se requiere ningún tipo de titulación o certificación específica.
Además, puede ser desempeñado tanto por personal interno como externo, ya se trate de una persona física o persona jurídica. Sin embargo, según las diferentes tarifas consultadas por este medio, su contratación supone un sobrecoste a la pyme, que puede ser considerable en función de los servicios contratados y el tamaño de la empresa.
En concreto, las tarifas que ofrecen las empresas especializadas suponen un coste aproximado de entre 250 y 1.000 euros al año, si bien hay precios de mercado que alcanzan los 6.000 euros al año para empresas medianas, aunque influye si el papel es desempeñado por personal externo o no.
Sanciones de entre 10.000 y 50.000 euros por no tener contratado un Delegado de Protección de Datos
Según el artículo 73 de la LOPDGDD 3/2018, el incumplimiento de la obligación de designar un delegado de protección de datos cuando sea obligatorio es una sanción tipificada como grave.
Estas infracciones contemplan multas de hasta 10 millones de euros o 2% del volumen de facturación anual (la cuantía que resulte superior). Asimismo, de manera concreta, se conocen resoluciones de la AEPD donde ha llegado a sancionar con multas de entre 10.000 y 50.000 euros a empresas por no tener un Delegado de Protección de Datos.
