"He de contractar un DPO?" és una de les preguntes que més dubtes genera entre pimes i autònoms, normalment perquè sona a obligació cara i reservada a grans corporacions. La realitat és més matisada: depèn a què et dediques, no de quants empleats tens. Anem a veure-ho amb claredat.
Els tres criteris generals del RGPD
L'article 37 del RGPD obliga a nomenar un delegat de protecció de dades (DPO) quan es dona alguna d'aquestes tres situacions: que el tractament el dugui a terme una autoritat o organisme públic; que l'activitat principal de l'empresa consisteixi a fer un seguiment habitual i sistemàtic de persones a gran escala (per exemple, perfilat per a publicitat, geolocalització contínua o anàlisi de comportament massiu); o que l'activitat principal consisteixi en el tractament a gran escala de categories especials de dades (salut, ideologia, orientació sexual, biometria) o de dades relacionades amb condemnes penals.
Fixa't que cap dels tres criteris esmenta el nombre d'empleats ni la facturació. Una empresa de cinc persones pot estar obligada a tenir DPO si la seva activitat principal encaixa en algun d'aquests supòsits, i una empresa de dues-centes pot no estar-ho si no encaixa en cap.
Sectors amb DPO obligatori a Espanya segons la llei
A més dels criteris generals del RGPD, la normativa espanyola (la LOPDGDD) afegeix una llista de sectors que estan obligats a tenir DPO sí o sí, al marge de la seva mida. Entre ells: centres sanitaris legalment obligats a mantenir historials clínics de pacients, centres docents, entitats asseguradores i de crèdit, empreses de seguretat privada, operadors de telecomunicacions, entitats que elaborin informes comercials o avaluïn solvència patrimonial a gran escala, i col·legis professionals, entre d'altres.
Si el teu negoci encaixa en algun d'aquests sectors, no hi ha volta de full: necessites un DPO, tinguis la mida que tinguis. Si no encaixa, toca mirar els criteris generals del punt anterior.
El matís que confon la majoria: "a gran escala"
Aquí és on més pimes es perden. El RGPD no defineix una xifra exacta del que és "gran escala": depèn del nombre de persones afectades, del volum de dades, de la durada del tractament i de l'àmbit geogràfic. Una clínica petita que tracta els historials dels seus propis pacients no sol considerar-se "a gran escala" en el sentit de l'article 37 (encara que sí que té altres obligacions reforçades per tractar dades de salut). Una plataforma que analitza el comportament de centenars de milers d'usuaris sí que entra clarament en aquest supòsit.
Si tens dubtes raonables sobre si la teva activitat entra en aquest terreny, és un bon senyal que val la pena consultar-ho amb un especialista en lloc d'assumir que no t'aplica per ser petit.
Si no és obligatori, val la pena tenir algú responsable igualment?
Que no estiguis obligat a nomenar un DPO formal no vol dir que ningú no s'hagi d'ocupar de la protecció de dades a la teva empresa. Algú ha de saber quines dades es tracten, on es guarden, durant quant de temps i què fer si hi ha un incident. En una pime, això no té per què ser un lloc nou: pot ser una responsabilitat afegida de qui ja porta la gestió del negoci, recolzat en procediments clars i, si cal, assessorament extern puntual.
Tenir algú pendent d'això és precisament el que marca la diferència si arriba una bretxa de dades: saber en minuts què ha passat i què toca fer, en lloc d'improvisar sota pressió. Pots veure els passos concrets d'aquestes primeres hores a la nostra checklist per a les 72 hores després de detectar una bretxa de seguretat. I si el que et falta és assabentar-te a temps que alguna cosa ha passat, a Alerta Brecha vigilem de manera contínua si les dades de la teva empresa apareixen en filtracions conegudes, amb plans des de 9€/mes i en fase d'accés anticipat.
---
Recorda que aquest article té un caràcter merament divulgatiu i no substitueix l'assessorament d'un professional legal qualificat. Per resoldre dubtes concrets sobre la teva situació, consulta amb un professional.