Funciones del delegado de protección de datos: qué hace un DPO (y qué no le corresponde)

Muchas empresas tienen un delegado de protección de datos nombrado y comunicado a la AEPD, pero no saben bien qué debería estar haciendo. Otras lo contratan solo porque la ley les obliga y lo tratan como un trámite. En ambos casos se desaprovecha una figura que, bien utilizada, evita sanciones y ahorra problemas.

En este artículo repasamos las funciones del delegado de protección de datos según el RGPD y la LOPDGDD, qué garantías tiene, qué no le corresponde hacer y cómo se nota en el día a día de una empresa.

Las funciones del delegado de protección de datos según el RGPD

El artículo 39 del Reglamento General de Protección de Datos enumera las tareas mínimas del delegado. Son cinco:

• Informar y asesorar al responsable o al encargado del tratamiento, y a los empleados que tratan datos, sobre sus obligaciones.
• Supervisar el cumplimiento del RGPD, de la normativa nacional y de las políticas internas. Esto incluye repartir responsabilidades, concienciar y formar al personal y hacer auditorías.
• Asesorar sobre las evaluaciones de impacto (EIPD) cuando se le pida y supervisar que se apliquen.
• Cooperar con la autoridad de control, que en España es la Agencia Española de Protección de Datos.
• Actuar como punto de contacto de la autoridad para cualquier cuestión sobre el tratamiento, incluida la consulta previa.

El mismo artículo añade un matiz importante: el delegado debe trabajar con un enfoque basado en el riesgo. No tiene que revisar todo con la misma intensidad, sino centrarse en los tratamientos que pueden causar más daño.

Funciones añadidas por la LOPDGDD

La ley española amplía el papel del delegado en varios puntos que conviene conocer.

Inspeccionar y recomendar

El artículo 36 de la LOPDGDD le permite inspeccionar los procedimientos relacionados con la protección de datos y emitir recomendaciones. Además, si detecta una vulneración relevante, debe documentarla y comunicarla de inmediato a los órganos de administración.

Acceso a los datos

Para hacer su trabajo, el delegado tiene derecho a acceder a los datos personales y a los procesos de tratamiento. La empresa no puede negárselo alegando confidencialidad o secreto.

Atender reclamaciones antes que la AEPD

Esta es la función con más impacto práctico, y de las menos conocidas. Según el artículo 37 de la LOPDGDD, una persona puede dirigirse al delegado antes de reclamar ante la AEPD. En ese caso, el delegado tiene dos meses para responder.

Si la reclamación llega directamente a la Agencia, esta puede remitirla al delegado, que dispone de un mes para contestar. Si no responde en ese plazo, la AEPD sigue adelante con el procedimiento. Un delegado que gestiona bien esta fase evita muchos expedientes.

Qué garantías tiene el delegado

Para que el delegado pueda cumplir sus funciones, el artículo 38 del RGPD le da una posición protegida:

• Debe participar desde el principio en todas las cuestiones de protección de datos.
• La empresa debe darle los recursos necesarios para su trabajo y para mantener sus conocimientos.
• No puede recibir instrucciones sobre cómo desempeñar sus funciones, ni ser destituido o sancionado por desempeñarlas.
• Rinde cuentas directamente al más alto nivel jerárquico.
• Puede tener otras tareas, siempre que no generen conflicto de interés.

Si el delegado es un empleado, la LOPDGDD concreta esta protección: no puede ser removido ni sancionado por desempeñar sus funciones salvo que haya actuado con dolo o negligencia grave.

Lo que no le corresponde al delegado

Hay un error muy extendido: pensar que el delegado es el responsable del cumplimiento. No lo es. La responsabilidad sigue siendo de la empresa, que es quien decide cómo trata los datos.

Tampoco es su función redactar todos los documentos, firmar los contratos o tomar decisiones de negocio. Su papel es asesorar, supervisar y alertar. Por eso tampoco puede ocupar cargos que decidan los fines y medios del tratamiento, como la dirección general o, en muchos casos, la dirección de recursos humanos o de sistemas.

Cómo se nota un buen delegado en el día a día

Las funciones legales se traducen en tareas muy concretas. Un delegado que trabaja bien:

• Mantiene actualizado el registro de actividades de tratamiento y revisa cada año si ha cambiado algo.
• Revisa los contratos con proveedores que acceden a datos antes de firmarlos.
• Ayuda a gestionar las brechas de seguridad y a decidir si hay que notificarlas a la AEPD en 72 horas.
• Responde a los ejercicios de derechos de clientes, empleados o familias dentro de plazo.
• Forma a la plantilla y deja constancia de esa formación.
• Avisa antes de lanzar un proyecto nuevo con datos: una aplicación, una herramienta de IA o un sistema de videovigilancia.

Delegado interno o externo: qué cambia en sus funciones

Las funciones son las mismas en los dos casos. Lo que cambia es cómo se garantizan. Un delegado externo suele tener más fácil la independencia, porque no depende jerárquicamente de nadie en la empresa, y aporta experiencia acumulada con otras organizaciones.

Un delegado interno conoce mejor la casa, pero a menudo tiene otras tareas y puede encontrarse en conflicto de interés. Por eso muchas empresas optan por un servicio de delegado de protección de datos externo, con reuniones presenciales cuando hace falta y seguimiento continuo el resto del año.

Si todavía no tienes claro si tu empresa está obligada a designarlo, lo explicamos en nuestro artículo sobre cuándo es obligatorio nombrar un delegado de protección de datos.

Errores frecuentes con las funciones del delegado de protección de datos

En las revisiones que hacemos a empresas se repiten los mismos fallos. Casi todos tienen que ver con nombrar al delegado y olvidarse de él:

• Nombrarlo y no darle información. Si el delegado se entera de un proyecto nuevo cuando ya está en marcha, no puede asesorar a tiempo.
• No dejar rastro de su trabajo. Ante una inspección, la empresa tiene que demostrar que el delegado ha supervisado, formado y asesorado. Sin informes ni actas, es como si no hubiera hecho nada.
• Elegir a alguien con conflicto de interés. Las autoridades europeas ya han multado a empresas por designar como delegado a quien decidía sobre los tratamientos.
• No comunicar los cambios a la AEPD. Si el delegado cambia y el registro de la Agencia no se actualiza, la empresa incumple el artículo 34.3 de la LOPDGDD.
• Pensar que el delegado lo resuelve todo. Sus funciones son de asesoramiento y supervisión; las decisiones y la responsabilidad siguen siendo de la empresa.

Qué documentación debería generar el delegado

Una forma sencilla de comprobar si las funciones del delegado de protección de datos se están cumpliendo es revisar lo que ha dejado por escrito a lo largo del año. Como mínimo, debería existir:

• Un informe anual de actividad dirigido a la dirección, con los riesgos detectados y las recomendaciones.
• Los dictámenes o notas de asesoramiento sobre proyectos nuevos, evaluaciones de impacto y contratos con proveedores.
• El registro de brechas de seguridad, notificadas o no, con su análisis.
• El registro de solicitudes de derechos y reclamaciones atendidas, con las fechas de respuesta.
• Las evidencias de formación del personal: contenidos, asistentes y fechas.

Esta documentación protege a la empresa. Si la AEPD abre un procedimiento, poder demostrar que el delegado ha trabajado de forma continua es uno de los argumentos más sólidos para acreditar diligencia.

Preguntas frecuentes

¿El delegado de protección de datos responde de las multas?

No. La responsabilidad ante la AEPD es del responsable o del encargado del tratamiento. El delegado asesora y supervisa, pero no asume la responsabilidad de las decisiones de la empresa.

¿Puede el delegado ser una persona de la propia empresa?

Sí, siempre que tenga conocimientos suficientes, los medios necesarios y no tenga un cargo que genere conflicto de interés.

¿Tiene que estar el delegado en las oficinas de la empresa?

La ley no lo exige. Lo importante es que sea accesible para la empresa, para los interesados y para la autoridad. Muchos servicios combinan visitas presenciales con trabajo a distancia.

¿Cuánto tiempo hay para comunicar el nombramiento?

Diez días desde la designación, según el artículo 34.3 de la LOPDGDD. También hay que comunicar los ceses.

¿Tu delegado está haciendo su trabajo?

Si tu empresa tiene un delegado nombrado pero no sabes qué ha hecho este año, o necesitas uno que de verdad acompañe al negocio, podemos ayudarte. Revisamos la situación, te proponemos un plan de trabajo y asumimos la función con el seguimiento que tu empresa necesita. Consulta nuestro servicio de delegado de protección de datos.

Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.