21 Feb Cómo contratar un Delegado de Protección de Datos para tu startup

¿Necesitas contratar un Delegado de Protección de Datos para tu empresa o startup? No siempre es fácil saber cuándo es obligatorio ni cómo hacerlo. Y las consecuencias de no tenerlo cuando deberías pueden ser muy costosas.

En este artículo te explicamos cuándo necesitas contratar un delegado de protección de datos, qué funciones tiene esta figura y cómo elegir la opción que mejor se adapta a tu empresa.

Las funciones del Delegado de Protección de Datos

El Delegado de Protección de Datos (DPD o DPO) es la persona responsable de supervisar y monitorizar de forma independiente y confidencial el cumplimiento de la normativa sobre Protección de Datos en la empresa. Puede ser un empleado de la misma o un profesional externo. En todo caso, ha de tener la formación que establece la AEPD.

El DPD debe informar y asesorar a la empresa sobre las obligaciones que debe cumplir. Colabora con la autoridad de control (la AEPD) y actúa como punto de contacto para todas las cuestiones relativas a la protección de datos.

¿Cuándo necesitas contratar un Delegado de Protección de Datos?

El Reglamento de Protección de Datos (RGPD) establece los casos en que es obligatorio contar con un DPD. Por ejemplo, es necesario contratar un delegado de protección de datos si se realizan operaciones de tratamiento de datos personales que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual de interesados a gran escala.

Qué es un tratamiento de datos a gran escala

El tratamiento de datos personales a gran escala no solo lo realizan grandes empresas que obtienen millones de datos de personas en diferentes países. En función del territorio, del tipo de datos y del volumen de interesados, tratar datos a gran escala es mucho más cercano y común de lo que parece.

Ya en el Considerando 91 del RGPD se indica que el tratamiento de datos a gran escala puede ser regional, nacional o supranacional. Por tanto, puede considerarse tratamiento a gran escala el tratamiento de datos dentro de un único país, comunidad autónoma o región.

Debemos prestar atención también al volumen de datos personales que son objeto del tratamiento. Tal como establece la normativa, se consideraría «gran escala» una cantidad considerable de datos personales que pueden afectar a un gran número de interesados.

Si atendemos a las definiciones que hacen las autoridades en materia de Protección de Datos, podemos ver que lo importante es la proporción. Será clave el número de interesados de los cuales se tratan datos, tanto en términos absolutos como en proporción, dentro de una determinada población.

Cuidado: cualquier empresa o startup puede estar realizando tratamiento de datos a gran escala sin saberlo. Si ese es tu caso, deberás contratar un Delegado de Protección de Datos.

¿DPD interno o externo? Cómo contratar un Delegado de Protección de Datos

A la hora de contratar un delegado de protección de datos, tienes dos opciones principales:

• DPD interno: un empleado de tu empresa que asume este rol. Debe tener la formación específica exigida por la AEPD y dedicar el tiempo necesario a esta función, sin conflicto de intereses con otras responsabilidades.
• DPD externo: un profesional o empresa especializada que presta el servicio de forma externa. Es la opción más habitual para startups y pymes, ya que permite acceder a experiencia especializada con mayor flexibilidad y a un coste más ajustado.

En ambos casos, el DPD debe estar registrado en la AEPD y contar con los conocimientos necesarios en derecho y práctica en materia de protección de datos.

El caso de Glovo: lo que ocurre cuando no se contrata un DPD

Un ejemplo cercano de lo que puede ocurrir cuando no se contrata un delegado de protección de datos es el caso de Glovo. Esta startup española fue sancionada por la Agencia Española de Protección de Datos por no haber nombrado un Delegado de Protección de Datos cuando era obligatorio hacerlo.

La AEPD determinó que Glovo realiza tratamientos de datos a gran escala, conforme al artículo 37.1.b del RGPD. Sin embargo, no contaba con un DPD. Glovo recurrió la resolución sin éxito. Tal como se confirma en la Sentencia de la Audiencia Nacional, la sanción fue ratificada: una multa de 25.000 euros.

Si no tienes claro si tu startup o empresa necesita contratar un delegado de protección de datos, no dudes en contactar con nosotros.