Quines empreses han de designar un Delegat de Protecció de Dades o DPD?

El Reglament Europeu de Protecció de Dades va introduir la figura del Delegat de Protecció de Dades. En termes generals, el DPD és un professional encarregat de facilitar el compliment de les normatives de protecció de dades.

L’RGPD estableix tres supòsits en els què és obligatòria la designació d’un DPD:

• Autoritats o organismes públics.
• Responsables o encarregats del tractament l’activitat principal dels quals consisteixi en tractaments que requereixin una observació habitual i sistemàtica de persones a gran escala.
• Responsables o encarregats del tractament l’activitat principal dels quals consisteixi en el tractament a gran escala de dades personals de categories especials o relatives a condemnes i infraccions penals.

LLISTAT D’EMPRESES QUE HAN DE NOMENAR UN DPD

Davant la falta de concreció del Reglament Europeu, la nova Llei Orgànica de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD) inclou una orientació sobre el tipus d’organitzacions que han de designar un DPD.

En concret, l’Article 34 de la LOPDGDD inclou la següent relació de responsables i encarregats del tractament:

• Col·legis professionals i els seus consells generals.
• Centres docents que ofereixin ensenyaments dels nivells establerts a la legislació, així com universitats públiques i privades.
• Entitats que explotin xarxes i prestin serveis de comunicacions electròniques, quan tracten de forma sistemàtica dades personals a gran escala.
• Prestadors de serveis de la societat de la informació que elaborin perfils a gran escala.
• Entitats d’ordenació, supervisió i solvència d’entitats de crèdit.
• Establiments financers de crèdit.
• Entitats asseguradores i reasseguradores.
• Empreses de serveis d’inversió.
• Distribuïdors i comercialitzadors d’energia elèctrica i els distribuïdors i comercialitzadors de gas natural.
• Entitats responsables de fitxers comuns per a l’avaluació de la solvència patrimonial i crèdit.
• Entitats que desenvolupin activitats de publicitat i prospecció comercial quan duguin a terme tractaments basats en preferències dels titulars o realitzin elaboració de perfils.
• Centres sanitaris legalment obligats al manteniment de les històries clíniques dels pacients. Exceptuant professionals que exerceixin la seva activitat a títol individual.
• Entitats que tinguin com un dels seus objectes l’emissió d’informes comercials que puguin referir-se a persones físiques.
• Operadors que desenvolupin l’activitat de joc a través de canals electrònics, informàtics, telemàtics i interactius.
• Empreses de seguretat privada.
• Federacions esportives que tractin dades de menors d’edat.

DIRECTRIUS SOBRE DELEGATS DE PROTECCIÓ DE DADES

El Grup de treball de l’article 29, òrgan consultiu de la UE en matèria de protecció de dades i privacitat, va publicar un informe relatiu a la figura del DPD.

Entre les directrius que inclou l’informe, recomana que les organitzacions amb dificultats per definir la seva obligació de designar un DPD, realitzin i documentin una anàlisi “per determinar si s’ha de nomenar o no un DPD, a fi de poder demostrar que s’han tingut en compte degudament els factors pertinents.”

El Grup de Treball de l’article 29 també assenyala que “el nomenament d’un DPD pot facilitar el compliment i, a més, convertir-se en un avantatge competitiu per a les empreses.”

Més informació sobre la figura del delegat de Protecció de Dades (DPD) en el següent enllaç.