DPD – Delegado de Protección de Datos

El contexto normativo

El Reglamento (UE) 2016/679, el RGPD (GDPR en inglés), dedica tres artículos al delegado de protección de datos (DPD, o DPO en la denominación inglesa). El art. 37 establece cuándo la designación es obligatoria. Tres supuestos: autoridades y organismos públicos; observación habitual y sistemática de interesados a gran escala como actividad principal; tratamiento a gran escala, también como actividad principal, de categorías especiales de datos (art. 9) o de datos relativos a condenas e infracciones penales (art. 10). El art. 38 define su posición: participación oportuna en todas las cuestiones relativas a los datos personales, recursos adecuados, ausencia de instrucciones sobre el desempeño de sus funciones, prohibición de destitución o sanción por cumplirlas, dependencia directa del más alto nivel jerárquico, deber de secreto y ausencia de conflicto de intereses. El art. 39 enumera sus funciones: informar y asesorar, supervisar el cumplimiento del Reglamento, ofrecer un dictamen sobre las evaluaciones de impacto, cooperar con la autoridad de control y actuar como punto de contacto.

Los datos de contacto del DPD deben publicarse y comunicarse al Garante, la autoridad italiana de protección de datos, a través del procedimiento en línea previsto, y figuran en las cláusulas informativas, en el registro de actividades de tratamiento y en las notificaciones de violaciones de seguridad. Las Directrices WP243 del Grupo de Trabajo del art. 29, asumidas por el EDPB, y las FAQ del Garante aclaran los conceptos de «gran escala», «actividades principales» y «observación habitual y sistemática». El art. 37, apdo. 6, prevé expresamente que el DPD pueda ser externo y desempeñar sus funciones en el marco de un contrato de servicios; las WP243 recomiendan que, cuando se trate de una sociedad, se identifique una persona de referencia para el cliente.

Para la empresa lo que está en juego es concreto. La falta de designación cuando resulta obligatoria, o un nombramiento solo formal con un DPD sin recursos o en conflicto de intereses, se encuentra entre las infracciones sancionables con hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial (art. 83, apdo. 4). La designación y la posición de los DPD han sido además objeto de una acción coordinada de supervisión de las autoridades europeas de protección de datos.

Nuestro enfoque

El nombramiento del DPD no es un trámite que se archiva: designa una función que debe estar presente en los momentos en que la empresa toma decisiones sobre los datos. Por eso construimos el servicio como un acompañamiento continuado de la dirección y de las áreas operativas, con un plan de actividades definido al inicio y revisado cada año.

Cada actuación se documenta en un registro de actividades del DPD: dictámenes emitidos, consultas recibidas, verificaciones realizadas, resultados y acciones correctivas. Es el instrumento que permite al responsable del tratamiento demostrar, en caso de inspección o reclamación, que se ha consultado al DPD y que las decisiones se han ponderado, incluso cuando la dirección ha resuelto en un sentido distinto al recomendado.

El servicio une competencias jurídicas y técnicas. Leemos los contratos con los proveedores y las cláusulas sobre transferencias, pero también sabemos analizar logs, configuraciones y medidas de seguridad, y dialogar con IT sin intermediarios. Cuando la empresa cuenta con un Modelo 231 (el modelo de organización previsto por el Decreto Legislativo italiano 231/2001), está sujeta a la NIS2 (Decreto Legislativo italiano 138/2024) o adopta un sistema de gestión ISO/IEC 27001:2022, coordinamos la actividad del DPD con esos órganos y requisitos: flujos de información hacia el Organismo de Vigilancia (OdV, el órgano de vigilancia del Modelo 231) en materia de delitos informáticos, un único procedimiento para incidentes y violaciones de seguridad, un único registro de proveedores.

Qué distingue nuestro servicio

• Independencia real: el DPD externo no depende de las jerarquías internas y su dictamen sigue siendo libre incluso cuando resulta incómodo.
• Competencias jurídicas y técnicas en un mismo equipo: leemos contratos y cláusulas sobre transferencias, pero también analizamos logs, configuraciones y medidas de seguridad, en diálogo directo con IT.
• Integración con 231, NIS2 e ISO/IEC 27001: coordinamos la actividad del DPD con el Organismo de Vigilancia y con los sistemas de gestión ya existentes, con un único procedimiento para incidentes y violaciones de seguridad y un único registro de proveedores.
• Actividad medible: el plan anual, el registro de actividades del DPD y el informe a la dirección hacen visible qué se ha hecho, qué queda por hacer y con qué prioridad.