En primer lugar, los artículos 37 del Reglamento (UE) 2016/679, de 27 de abril de 2016, (RGPD) y 34 de la Ley Orgánica 3/2018, de 5 de diciembre, (LOPDGDD) establecen los supuestos en los que las empresas deben nombrar un DPO. En particular, cabe destacar los siguientes.
- La actividad principal del responsable o encargado implicaba una observación sistemática a gran escala de los interesados.
- La actividad principal del responsable o encargado consiste en el tratamiento a gran escala de categorías especiales de datos.
- Si la entidad es un establecimiento financiero de crédito.
Un DPO es una figura de gran relevancia puesto que se trata de un garante del cumplimiento de la normativa de protección de datos en las empresas. Entre sus funciones principales, encontramos las siguientes:
- Informar y guiar al Responsable del tratamiento y a los empleados.
- Supervisar el cumplimiento de la legislación de protección de datos.
- Asesorar en las evaluaciones de impacto.
- Estar en contacto y cooperar con la autoridad de control.
En segundo lugar, si una empresa no designa un DPO a pesar de estar obligada a ello, la AEPD, en su condición de autoridad competente, podrá imponer una multa administrativa de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con lo establecido en el artículo 83.4 del RGPD.
Aunque estas sanciones son ajustadas en función de las circunstancias de cada caso individual, atenuando o agravando las multas, atendiendo a criterios como la intencionalidad, la categoría de datos que se tratan, el grado de cooperación con la autoridad de control para mitigar la infracción, etc.
Es por ello que resulta de gran importancia el nombramiento de un DPO, donde tal nombramiento puede ser internamente por la misma empresa, pero también puede externalizarse en una empresa tercera mediante un contrato de servicios. Sin embargo, cada vez es más habitual que las empresas opten por la externalización de esta figura del DPO en un tercero.
En todo caso, las empresas tendrán que asegurarse que la persona que vayan a designar como DPO reúne una serie de requisitos establecidos en la norma. Entre ellos, estaría un conocimiento especializado en la legislación y la práctica de protección de datos.
Si tiene alguna duda respecto a si su empresa debe nombrar un DPO, cuáles serían sus obligaciones o funciones, no dude en plantearnos la consulta a clientes@easytelecomlaw.com y nuestro equipo de Abogados le responderá con la mayor brevedad posible.
Autor: Daniel Lagunas
Puesto: Consultor Junior
