"Teño que contratar un DPO?" é unha das preguntas que máis dúbidas xera entre pemes e autónomos, normalmente porque soa a obriga cara e reservada a grandes corporacións. A realidade é máis matizada: depende a que te dediques, non de cantos empregados teñas. Imos velo con claridade.
Os tres criterios xerais do RGPD
O artigo 37 do RGPD obriga a nomear un delegado de protección de datos (DPO) cando se dá algunha destas tres situacións: que o tratamento o leve a cabo unha autoridade ou organismo público; que a actividade principal da empresa consista en realizar un seguimento habitual e sistemático de persoas a gran escala (por exemplo, perfilado para publicidade, xeolocalización continua ou análise de comportamento masivo); ou que a actividade principal consista no tratamento a gran escala de categorías especiais de datos (saúde, ideoloxía, orientación sexual, biometría) ou de datos relacionados con condenas penais.
Fíxate en que ningún dos tres criterios menciona o número de empregados nin a facturación. Unha empresa de cinco persoas pode estar obrigada a ter DPO se a súa actividade principal encaixa nalgún destes supostos, e unha empresa de douscentas pode non estalo se non encaixa en ningún.
Sectores con DPO obrigatorio en España segundo a lei
Ademais dos criterios xerais do RGPD, a normativa española (a LOPDGDD) engade unha lista de sectores que están obrigados a ter DPO si ou si, á marxe do seu tamaño. Entre eles: centros sanitarios legalmente obrigados a manter historiais clínicos de pacientes, centros docentes, entidades aseguradoras e de crédito, empresas de seguridade privada, operadores de telecomunicacións, entidades que elaboren informes comerciais ou avalíen solvencia patrimonial a gran escala, e colexios profesionais, entre outros.
Se o teu negocio encaixa nalgún destes sectores, non hai volta de folla: necesitas un DPO, teñas o tamaño que teñas. Se non encaixa, toca mirar os criterios xerais do punto anterior.
O matiz que confunde á maioría: "a gran escala"
Aquí é onde máis pemes se perden. O RGPD non define unha cifra exacta do que é "gran escala": depende do número de persoas afectadas, do volume de datos, da duración do tratamento e do ámbito xeográfico. Unha clínica pequena que trata os historiais dos seus propios pacientes non adoita considerarse "a gran escala" no sentido do artigo 37 (aínda que si ten outras obrigas reforzadas por tratar datos de saúde). Unha plataforma que analiza o comportamento de centos de miles de usuarios si entra claramente nese suposto.
Se tes dúbidas razoables sobre se a túa actividade entra nese terreo, é bo sinal de que paga a pena consultalo cun especialista en vez de asumir que non che aplica por ser pequeno.
Se non é obrigatorio, paga a pena ter alguén responsable igualmente?
Que non esteas obrigado a nomear un DPO formal non significa que ninguén deba ocuparse da protección de datos na túa empresa. Alguén ten que saber que datos se tratan, onde se gardan, durante canto tempo e que facer se hai un incidente. Nunha peme, isto non ten por que ser un posto novo: pode ser unha responsabilidade engadida de quen xa leva a xestión do negocio, apoiado en procedementos claros e, se fai falta, asesoramento externo puntual.
Ter a alguén pendente disto é precisamente o que marca a diferenza se chega unha brecha de datos: saber en minutos que pasou e que toca facer, en vez de improvisar baixo presión. Podes ver os pasos concretos desas primeiras horas na nosa checklist para as 72 horas tras detectar unha brecha de seguridade. E se o que che falta é decatarte a tempo de que algo pasou, en Alerta Brecha vixiamos de forma continua se os datos da túa empresa aparecen en filtracións coñecidas, con plans desde 9€/mes e en fase de acceso anticipado.
---
Lembra que este artigo ten un carácter meramente divulgativo e non substitúe o asesoramento dun profesional legal cualificado. Para resolver dúbidas concretas sobre a túa situación, consulta cun profesional.