Los tres supuestos obligatorios de designación de un DPD según el artículo 37 del RGPD
El artículo 37(1) del RGPD establece exactamente tres supuestos en los que la designación de un delegado de protección de datos es obligatoria. No son sugerencias: la falta de designación cuando es obligatoria ha acarreado multas de las autoridades de control en toda la UE.
Supuesto 1: Autoridades y organismos públicos
Artículo 37(1)(a): «El tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.»
Esto se aplica a cualquier organización clasificada como autoridad pública según la legislación nacional: organismos gubernamentales, ayuntamientos, universidades públicas y empresas estatales. La definición varía según el Estado miembro. En Alemania, los entes de radiodifusión de derecho público están cubiertos. En Francia, la CNIL ha aclarado que las organizaciones que prestan servicios públicos por contrato también pueden quedar dentro del ámbito de aplicación.
Si su organización recibe financiación pública o presta servicios en nombre de un organismo público, compruebe si su autoridad nacional de protección de datos clasifica esto como tratamiento de una «autoridad pública»: la definición es más amplia de lo que la mayoría espera.
Supuesto 2: Supervisión habitual y sistemática a gran escala
Artículo 37(1)(b): «Las actividades principales del responsable o del encargado del tratamiento consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala.»
Aquí es donde la mayoría de las organizaciones del mercado intermedio tropiezan. «Actividades principales» no significa el tratamiento de RR. HH. o de nóminas; significa el tratamiento que es central para alcanzar los objetivos de negocio. Las directrices del WP29 (ahora respaldadas por el EDPB) definen los términos clave de la siguiente manera:
- «Habitual» significa continuo o que se produce a intervalos determinados, no algo puntual. El seguimiento de la fidelización de clientes, la supervisión de redes y el rastreo de la ubicación de los empleados cumplen este criterio.
- «Sistemático» significa que se produce con arreglo a un sistema, preestablecido, organizado o metódico. La publicidad comportamental, la calificación crediticia y los sistemas de detección del fraude son sistemáticos por naturaleza.
- «A gran escala» tiene en cuenta el número de interesados, el volumen de datos, el alcance geográfico y la duración del tratamiento. No existe un umbral numérico fijo, pero una red de videovigilancia que cubre toda una ciudad o una operadora de telecomunicaciones que trata millones de registros de clientes lo cumple claramente.
Para las organizaciones multientidad, aquí es donde la complejidad se multiplica. Es posible que su empresa matriz no active este umbral de forma independiente, pero tres filiales combinadas podrían hacerlo. Y cada filial que sí lo active genera su propia obligación de DPD, a menos que designe un DPD de grupo según el artículo 37(2).
Supuesto 3: Tratamiento a gran escala de categorías especiales o datos penales
Artículo 37(1)(c): «Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.»
Las categorías especiales de datos incluyen datos de salud, datos biométricos, origen racial o étnico, opiniones políticas, afiliación sindical, datos genéticos y datos relativos a la vida sexual o la orientación sexual. Si alguna de sus filiales trata este tipo de datos como actividad principal (una filial sanitaria, una entidad aseguradora, una unidad de pruebas genéticas), el DPD es obligatorio para esa entidad.
El calificativo «a gran escala» también se aplica aquí. La consulta de un solo médico que trata historiales de pacientes no alcanza el umbral. Una red hospitalaria que trata historiales en tres países sí lo hace.
Leyes nacionales que amplían la base del RGPD
El artículo 37(4) permite explícitamente a los Estados miembros establecer requisitos adicionales para la designación del DPD. Varios lo han hecho, creando trampas para las organizaciones que solo consultan el texto del RGPD.
- Alemania (BDSG, artículo 38): Se exige un DPD cuando al menos 20 empleados se dedican de forma permanente al tratamiento automatizado de datos personales. Es un umbral significativamente más bajo que el de «gran escala» del RGPD y alcanza a muchas empresas del mercado intermedio que, de otro modo, no estarían cubiertas.
- Austria: La ley austriaca de protección de datos exige DPD para los tratamientos que generen un alto riesgo para los derechos de las personas, un estándar más amplio que los tres supuestos del RGPD.
- Francia: Aunque la CNIL no ha ampliado la designación obligatoria más allá del artículo 37 del RGPD, sus directrices recomiendan encarecidamente designar un DPD a cualquier organización que trate datos personales como parte significativa de su actividad. En la práctica, los reguladores franceses esperan un DPD o una función equivalente.
- Rumanía, Grecia, Eslovaquia: Estos Estados miembros han adoptado requisitos de DPD adicionales y específicos por sector, en particular para los servicios financieros, las telecomunicaciones y las organizaciones sanitarias.
Para las organizaciones multientidad, esto significa que una única evaluación del DPD de grupo no es suficiente. Debe comprobar la obligación de cada filial frente a la legislación nacional del país donde esté establecida, no solo frente a la base del RGPD.
¿Quién reúne las condiciones para ser DPD? Los requisitos que la mayoría de las organizaciones subestima
El artículo 37(5) exige que el DPD se designe «atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos». El EDPB ha aclarado que esto significa:
- Conocimientos jurídicos y técnicos: El DPD debe comprender tanto el marco jurídico como las operaciones técnicas de la organización. Un abogado que no entiende la infraestructura de TI, o un responsable de TI que no entiende el RGPD, no cumplirá el estándar.
- Independencia: El artículo 38(3) establece que el DPD «no recibirá ninguna instrucción en lo que respecta al desempeño de dichas funciones». Esto significa que el DPD no puede ser el CISO, el responsable jurídico ni ninguna persona cuyo cargo cree un conflicto de intereses. El EDPB ha señalado los cargos de CEO, COO, CFO, responsable de RR. HH. y responsable de TI como funciones intrínsecamente conflictivas.
- Recursos adecuados: El artículo 38(2) exige que la organización facilite «los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento». La designación de un DPD sin presupuesto, herramientas ni acceso a los registros de tratamiento es un incumplimiento esperando a producirse.
- Accesibilidad: Para los DPD de grupo según el artículo 37(2), «fácilmente accesible desde cada establecimiento» significa accesible en términos de idioma, disponibilidad y comprensión de los requisitos reguladores locales. Un DPD en Zúrich que gestiona la privacidad de una filial portuguesa necesita o bien capacidad en el idioma local o bien un coordinador de privacidad local.
El modelo de DPD de grupo: cómo se coordinan las organizaciones multientidad
El artículo 37(2) permite a un grupo empresarial designar un único DPD, siempre que sea «fácilmente accesible desde cada establecimiento». En la práctica, esto significa construir una estructura de coordinación que dé al DPD de grupo una visibilidad real sobre cada entidad.
Qué exige realmente la «fácil accesibilidad»
- Los interesados de cada jurisdicción deben poder contactar con el DPD en su idioma local o, como mínimo, en un idioma que quepa razonablemente esperar que comprendan
- El DPD debe poder comunicarse eficazmente con las autoridades de control locales en cada jurisdicción donde opere el grupo
- El DPD debe tener visibilidad operativa sobre las actividades de tratamiento, los proveedores, los incidentes y las solicitudes de los interesados de cada entidad que supervise
La realidad operativa sin herramientas centralizadas
El fundador de Priverion observó una empresa con 12 filiales que gestionaba el cumplimiento del RGPD en 47 hojas de cálculo. El DPD de grupo dedicaba la mayor parte de su semana a perseguir a las unidades de negocio para obtener actualizaciones del registro de tratamientos, informes sobre el estado de las EIPD y la finalización de las evaluaciones de proveedores, a través de correos electrónicos, unidades compartidas y reuniones mensuales que ya estaban desactualizadas cuando se celebraban.
Esto es la norma, no la excepción. Sin una plataforma centralizada que proporcione visibilidad de todo el grupo, el modelo de DPD de grupo se desmorona y degenera exactamente en el tipo de cumplimiento fragmentado e indocumentado que las autoridades de control cuestionarán durante una auditoría.
Cómo da soporte Priverion al modelo de DPD de grupo
Priverion se diseñó específicamente para esta arquitectura. Un DPD de grupo que utiliza Priverion obtiene:
- Mapeo de datos entre entidades con visibilidad centralizada sobre las actividades de tratamiento de cada filial
- Recertificación automatizada del registro de tratamientos. AXA logró una tasa de recertificación del 100 % con flujos de trabajo totalmente automatizados, eliminando la persecución manual
- Automatización de las EIPD y las TIA con redacción asistida por IA y puntuación de riesgos, con todos los resultados revisados por el DPD antes de convertirse en registros de cumplimiento
- Flujos de trabajo de gestión de incidentes que enrutan las notificaciones de brechas a la filial correcta y a la autoridad de control adecuada
- Un panel del DPD que ofrece supervisión operativa del estado del cumplimiento en todo el grupo
Todos los datos se tratan dentro de infraestructura suiza, lo que proporciona residencia de datos europea y soberanía de datos suiza, una ventaja legal significativa para las organizaciones que gestionan transferencias transfronterizas de datos en un entorno posterior a Schrems II.
Aunque no necesite un DPD: documente su evaluación
El artículo 37 no le obliga a designar un DPD en todas las situaciones, pero todas las autoridades de control esperan que haya evaluado si necesita uno. La ausencia de una evaluación documentada es en sí misma una señal de alerta durante una investigación.
Su evaluación debe abarcar:
- Cada entidad de su grupo, evaluada frente a los tres supuestos del artículo 37(1)
- Los requisitos de la legislación nacional en cada jurisdicción donde tenga un establecimiento
- Si está utilizando la disposición de DPD de grupo del artículo 37(2) y cómo se garantiza la «fácil accesibilidad»
- Si decide no designar uno, la justificación de esa decisión, documentada y fechada
Esta documentación debe revisarse anualmente o siempre que cambien la estructura de su grupo, las actividades de tratamiento o el entorno regulador.
