Consultoría jurídica sobre DPO obligatorio y sanciones

El delegado de protección de datos, conocido como DPO por sus siglas en inglés, no es una figura exigible en todos los casos. Hablar de DPO obligatorio significa analizar si la entidad encaja en los supuestos del artículo 37 del Reglamento (UE) 2016/679 (RGPD) y, en España, en los artículos 34, 35 y 36 de la LOPDGDD.

En síntesis, cuándo es obligatorio un DPO depende de la naturaleza de la entidad y de los tratamientos que realiza. Será necesario designarlo cuando lo exija expresamente la norma o cuando la actividad principal implique determinados tratamientos que, por su alcance o por el tipo de datos, entren en los supuestos previstos por el RGPD.

Por eso, antes de concluir si existe obligación de nombramiento o si hay riesgo sancionador, conviene revisar con criterio jurídico qué datos se tratan, con qué finalidad, a qué escala y quién asume realmente la posición de responsable o encargado del tratamiento.

Qué significa que el DPO sea obligatorio

Que el DPO obligatorio exista en una organización no supone una formalidad aislada, sino una obligación legal de designación del delegado de protección de datos cuando concurre alguno de los supuestos previstos en la normativa. El artículo 37 RGPD establece los casos en los que debe nombrarse, mientras que la LOPDGDD concreta en España determinadas entidades obligadas y cómo debe comunicarse y publicarse su contacto.

Desde una perspectiva práctica, la clave no es solo “tener” un DPO, sino poder justificar que la designación responde a un análisis correcto, que la persona o entidad designada puede desempeñar sus funciones y que su contacto ha sido comunicado a la AEPD y puesto a disposición de las personas interesadas cuando proceda en el marco del servicio de protección de datos y adaptación al RGPD.

En qué casos una empresa o entidad debe designar delegado de protección de datos

El artículo 37 RGPD prevé, entre otros, tres grandes supuestos: autoridades u organismos públicos; entidades cuya actividad principal requiera una observación habitual y sistemática de personas interesadas a gran escala; y entidades cuya actividad principal consista en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales.

En España, el artículo 34 LOPDGDD añade una lista de sujetos obligados en sectores concretos. Esa previsión legal es especialmente relevante porque evita dejar toda la respuesta a conceptos abiertos como “actividad principal” o “gran escala”. Aun así, fuera de esos supuestos expresamente enumerados, puede seguir siendo necesario valorar caso por caso si concurre la obligación conforme al RGPD.

En consecuencia, la obligación de nombrar DPO no debería decidirse por intuición ni por comparación informal con otras empresas. Debe partir de la norma aplicable y de la realidad del tratamiento efectuado por la organización, especialmente en el marco de una auditoría RGPD en pymes.

Cómo se documenta y comunica correctamente la designación

Si procede el nombramiento, no basta con una mención interna genérica. La organización debería poder acreditar la designación del DPO, el alcance de sus funciones y la fecha en que se produjo. Además, el artículo 34.3 LOPDGDD remite a la obligación de comunicar su nombramiento, cese o sustitución a la autoridad de control.

Los artículos 35 y 36 LOPDGDD añaden dos cuestiones relevantes: la comunicación a la autoridad competente y la publicación o puesta a disposición de los datos de contacto del delegado de protección de datos. La finalidad es que tanto la autoridad de control como las personas interesadas puedan contactar con esta figura en relación con el cumplimiento RGPD.

Desde el punto de vista preventivo, conviene conservar evidencia documental suficiente: acuerdo de designación, identificación del responsable del tratamiento, canales de contacto y trazabilidad de la comunicación realizada.

Qué riesgos y sanciones puede haber si no se nombra cuando procede

La ausencia de nombramiento no debe presentarse como una sanción automática ni como un incumplimiento idéntico en todos los casos. Primero hay que determinar si realmente existía obligación legal de designar un delegado de protección de datos y, después, si además faltó la comunicación a la autoridad de control o la publicación del contacto cuando correspondía.

Dicho esto, si la obligación existía y no se cumplió, puede haber riesgo sancionador dentro del régimen del RGPD y de la LOPDGDD. La respuesta concreta dependerá de factores como el tipo de entidad, la naturaleza de los tratamientos, la documentación disponible y el resto de medidas de cumplimiento normativo y compliance adoptadas. Por eso, hablar de sanciones protección de datos exige cautela y análisis del caso.

También puede generar problemas prácticos de gobernanza: falta de interlocución con la AEPD, debilidades en la supervisión interna y dificultad para acreditar que la organización ha evaluado correctamente sus obligaciones.

Qué conviene revisar antes de dar por cumplida la obligación

• Si la entidad encaja en alguno de los supuestos del artículo 37 RGPD o del artículo 34 LOPDGDD.
• Si los tratamientos forman parte de la actividad principal y si alcanzan una dimensión que pueda calificarse de gran escala.
• Si se tratan categorías especiales de datos o datos penales de forma estructural y no meramente accesoria.
• Si la designación está formalmente documentada y si el contacto del delegado está correctamente publicado o accesible.
• Si se ha comunicado el nombramiento, cese o sustitución a la autoridad de control conforme a la normativa española.

En definitiva, la cuestión no es solo si existe un DPO obligatorio, sino si la organización puede demostrar por qué lo ha designado o por qué concluye razonablemente que no estaba obligada. Ese análisis previo suele ser más útil que actuar de forma reactiva cuando ya existe una revisión interna, una incidencia o una consulta de la autoridad.

Como siguiente paso razonable, conviene revisar tratamientos, categorías de datos, volumen, estructura organizativa y evidencias de cumplimiento antes de dar por cerrada la cuestión. Una verificación jurídica preventiva puede ayudar a decidir con más seguridad si procede o no la designación y si la documentación actual es suficiente.