Una de las preguntas que más se repite entre empresarios es si tienen que nombrar un delegado de protección de datos. La respuesta depende de la actividad y del tipo de tratamientos que realicen, no del tamaño de la empresa por sí solo. Conviene analizarlo con criterio antes de decidir.
La regla europea
El artículo 37.1 del Reglamento general de protección de datos exige designar delegado en tres casos. El primero es cuando el tratamiento lo lleve a cabo una autoridad u organismo público. El segundo es cuando las actividades principales del responsable o encargado consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala. El tercero es cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos, del artículo 9, o de datos relativos a condenas e infracciones penales.
El artículo 37.2 permite que un grupo empresarial nombre un único delegado siempre que sea fácilmente accesible desde cada establecimiento.
La lista española
El artículo 34 de la Ley Orgánica 3/2018 complementa la regla europea con una relación de entidades que deberán designar delegado, entre las que se encuentran determinadas entidades del sector financiero y asegurador. Conviene revisar esa lista para comprobar si la actividad concreta queda comprendida.
Conceptos clave
Dos expresiones requieren análisis. La actividad principal es la que constituye el núcleo del negocio, no las tareas auxiliares como la nómina. La gran escala se valora según el número de interesados, el volumen de datos, la duración y el alcance geográfico del tratamiento.
Una clínica que trata historias clínicas como base de su actividad, o una empresa de seguimiento de la ubicación de vehículos, pueden quedar incluidas. Un pequeño comercio que gestiona sus nóminas, en principio, no.
Si no es obligatorio
Aun cuando no sea obligatorio, nada impide designar un delegado de forma voluntaria. Hacerlo tiene ventajas, como contar con una figura de referencia en la organización, pero también implica asumir las obligaciones asociadas a la figura, como la independencia y la comunicación a la autoridad.
Documente su decisión
Si la empresa concluye que no necesita delegado, conviene dejar constancia escrita del análisis, con los criterios aplicados. Ese documento sirve de defensa si más adelante se cuestiona la decisión.
Pasos recomendados
- Revisar el catálogo de tratamientos y su alcance.
- Valorar si la actividad principal implica seguimiento sistemático o categorías especiales.
- Comprobar la lista del artículo 34.
- Decidir, documentar y revisar cuando cambie el negocio.
Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.