"¿Tengo que contratar un DPO?" es una de las preguntas que más dudas genera entre pymes y autónomos, normalmente porque suena a obligación cara y reservada a grandes corporaciones. La realidad es más matizada: depende de a qué te dediques, no de cuántos empleados tengas. Vamos a verlo con claridad.
Los tres criterios generales del RGPD
El artículo 37 del RGPD obliga a nombrar un delegado de protección de datos (DPO) cuando se da alguna de estas tres situaciones: que el tratamiento lo lleve a cabo una autoridad u organismo público; que la actividad principal de la empresa consista en realizar un seguimiento habitual y sistemático de personas a gran escala (por ejemplo, perfilado para publicidad, geolocalización continua o análisis de comportamiento masivo); o que la actividad principal consista en el tratamiento a gran escala de categorías especiales de datos (salud, ideología, orientación sexual, biometría) o de datos relacionados con condenas penales.
Fíjate en que ninguno de los tres criterios menciona el número de empleados ni la facturación. Una empresa de cinco personas puede estar obligada a tener DPO si su actividad principal encaja en alguno de estos supuestos, y una empresa de doscientas puede no estarlo si no encaja en ninguno.
Sectores con DPO obligatorio en España según la ley
Además de los criterios generales del RGPD, la normativa española (la LOPDGDD) añade una lista de sectores que están obligados a tener DPO sí o sí, al margen de su tamaño. Entre ellos: centros sanitarios legalmente obligados a mantener historiales clínicos de pacientes, centros docentes, entidades aseguradoras y de crédito, empresas de seguridad privada, operadores de telecomunicaciones, entidades que elaboren informes comerciales o evalúen solvencia patrimonial a gran escala, y colegios profesionales, entre otros.
Si tu negocio encaja en alguno de estos sectores, no hay vuelta de hoja: necesitas un DPO, tengas el tamaño que tengas. Si no encaja, toca mirar los criterios generales del punto anterior.
El matiz que confunde a la mayoría: "a gran escala"
Aquí es donde más pymes se pierden. El RGPD no define una cifra exacta de qué es "gran escala": depende del número de personas afectadas, del volumen de datos, de la duración del tratamiento y del ámbito geográfico. Una clínica pequeña que trata los historiales de sus propios pacientes no suele considerarse "a gran escala" en el sentido del artículo 37 (aunque sí tiene otras obligaciones reforzadas por tratar datos de salud). Una plataforma que analiza el comportamiento de cientos de miles de usuarios sí entra claramente en ese supuesto.
Si tienes dudas razonables sobre si tu actividad entra en ese terreno, es buena señal de que merece la pena consultarlo con un especialista en lugar de asumir que no te aplica por ser pequeño.
Si no es obligatorio, ¿merece la pena tener alguien responsable igualmente?
Que no estés obligado a nombrar un DPO formal no significa que nadie deba ocuparse de la protección de datos en tu empresa. Alguien tiene que saber qué datos se tratan, dónde se guardan, durante cuánto tiempo y qué hacer si hay un incidente. En una pyme, esto no tiene por qué ser un puesto nuevo: puede ser una responsabilidad añadida de quien ya lleva la gestión del negocio, apoyado en procedimientos claros y, si hace falta, asesoramiento externo puntual.
Tener a alguien pendiente de esto es precisamente lo que marca la diferencia si llega una brecha de datos: saber en minutos qué ha pasado y qué toca hacer, en vez de improvisar bajo presión. Puedes ver los pasos concretos de esas primeras horas en nuestra checklist para las 72 horas tras detectar una brecha de seguridad. Y si lo que te falta es enterarte a tiempo de que algo ha pasado, en Alerta Brecha vigilamos de forma continua si los datos de tu empresa aparecen en filtraciones conocidas, con planes desde 9€/mes y en fase de acceso anticipado.
---
Recuerda que este artículo tiene un carácter meramente divulgativo y no sustituye el asesoramiento de un profesional legal cualificado. Para resolver dudas concretas sobre tu situación, consulta con un profesional.