Una xarxa de franquícia planteja una doble pregunta en relació amb el Delegat de Protecció de Dades: està obligat el franquiciador? Estan obligats els franquiciats? I, si la resposta a alguna de les dues és afirmativa, pot haver-hi un sol DPD per a tota la xarxa? La intuïció empresarial empeny cap a la simplificació: un DPD comú per a tota la marca. La regulació és més matisada i exigeix analitzar cas per cas.
Aquest article explica les regles aplicables: l'art. 37 RGPD sobre obligació de designació, l'art. 37.2 RGPD sobre DPD únic en grup empresarial, l'art. 34 LOPDGDD sobre supòsits addicionals en dret espanyol, i les figures de l'art. 38 i l'art. 39 RGPD sobre posició i funcions.
Quan és obligatori el DPD: art. 37 RGPD i art. 34 LOPDGDD
L'art. 37.1 RGPD obliga a designar DPD en tres supòsits:
- Quan el responsable o encarregat és una autoritat o organisme públic (no escau en franquícia privada).
- Quan les activitats principals consisteixen en operacions de tractament que, per la seva naturalesa, abast o finalitats, requereixen una observació habitual i sistemàtica d'interessats a gran escala.
- Quan les activitats principals consisteixen en el tractament a gran escala de categories especials de l'art. 9 (salut, etc.) o de dades de l'art. 10 (condemnes i infraccions).
L'art. 34 LOPDGDD complementa el RGPD amb un llistat addicional de supòsits on la designació és obligatòria a Espanya (entitats financeres, centres sanitaris obligats a portar història clínica, distribuïdors energètics, prestadors de serveis de la societat de la informació que elaborin perfils a gran escala, entre d'altres).
En una xarxa de franquícia, la pregunta es desdobla: la situació del franquiciador i la de cada franquiciat s'han d'analitzar per separat, perquè són empreses jurídicament diferents amb tractaments diferents.
Quan el necessita típicament el franquiciador
El franquiciador centralitza amb freqüència tractaments a gran escala que no existeixen aïllats en cada franquiciat: app del consumidor amb milions de descàrregues, programa de fidelització nacional, CRM unificat, perfilat de clients, analítica avançada, campanyes massives. Quan aquests tractaments constitueixen una activitat principal de la societat franquiciadora (o de la societat de serveis del grup), la designació de DPD és típicament obligatòria en aplicació de l'art. 37.1.b RGPD.
Si la marca opera en sectors on es tracten categories especials de manera central (per exemple, una franquícia de serveis sanitaris), també s'activa l'art. 37.1.c RGPD.
Quan el necessita típicament el franquiciat
El franquiciat, per la seva escala local, no acostuma a fer tractaments a gran escala que activin l'obligació general de l'art. 37.1.b RGPD. L'obligació apareix quan el sector de la franquícia és un dels de l'art. 34 LOPDGDD o quan, individualment, el franquiciat fa tractaments massius pel seu propi compte. En sectors generalistes (restauració, retail, serveis estandarditzats), el franquiciat individual rarament està obligat.
Tot i que aquesta és la regla general del sector, l'exigència final dependrà de l'escala, el volum i la tipologia exacta dels tractaments de cada entitat. Cada cas requereix una anàlisi individualitzada.
L'art. 37.2 RGPD: DPD únic en grup empresarial
L'art. 37.2 RGPD permet que un grup empresarial designi un sol DPD, sempre que sigui fàcilment accessible des de cada establiment. La pregunta operativa és: una xarxa de franquícia és un grup empresarial a efectes de l'art. 37.2 RGPD?
| Escenari | Art. 37.2 RGPD? | Solució habitual |
|---|---|---|
| Grup empresarial del franquiciador (matriu + filials) | Sí aplicable. | DPD únic dins del grup, designat i notificat per l'entitat capçalera. |
| Franquiciador i franquiciats independents | No aplicable directament: no són grup de l'art. 4.19 RGPD. | Cada empresa designa per separat. Possible DPD extern comú contractat individualment per cadascuna. |
| Franquiciats que són filials de la matriu franquiciadora | Aplicable entre els que sí pertanyen al grup. | DPD únic entre matriu i filials; els franquiciats aliens al grup, per separat. |
La fórmula pràctica: DPD extern comú contractat per separat
La solució més estesa en xarxes de franquícia obligades és la designació coordinada: el franquiciador designa el seu DPD (intern o extern), i cada franquiciat que estigui obligat contracta individualment amb el mateix DPD extern que el franquiciador. Cada empresa fa la seva pròpia designació, la seva pròpia notificació a l'AEPD (Agència Espanyola de Protecció de Dades) i el seu propi contracte.
Avantatges operatius: el DPD coneix la xarxa, els procediments comuns, els proveïdors i les eines; els franquiciats es beneficien de l'estàndard de marca; la coordinació d'incidències és més senzilla. El que no canvia és que cada empresa continua sent responsable autònom del seu compliment i el DPD treballa amb cadascuna en relació bilateral, amb la independència funcional de l'art. 38.3 RGPD.
Posició i funcions del DPD (art. 38 i art. 39 RGPD)
Sigui quin sigui el model triat, el DPD designat en qualsevol empresa de la xarxa ha de gaudir de les garanties de l'art. 38 RGPD: implicació adequada i primerenca en qüestions de protecció de dades, recursos suficients per dur a terme les seves funcions, absència d'instruccions sobre l'exercici de les funcions, no sancionable pel seu desenvolupament, dependència del nivell jeràrquic més alt i obligació de secret.
Les seves funcions, d'acord amb l'art. 39 RGPD, són:
- Informar i assessorar el responsable, l'encarregat i els seus empleats sobre les obligacions del RGPD.
- Supervisar el compliment del RGPD i de les polítiques internes, incloent-hi l'assignació de responsabilitats, la conscienciació i la formació del personal i les auditories corresponents.
- Assessorar en relació amb l'avaluació d'impacte i supervisar-ne l'aplicació.
- Cooperar amb l'autoritat de control (l'AEPD a Espanya).
- Actuar com a punt de contacte de l'autoritat de control en relació amb tractaments i consultes prèvies.
"En una xarxa de franquícia, el DPD coordinat funciona molt bé sempre que cada empresa entengui que el DPD treballa per a ella, no per a la marca. Mateix DPD, mateixes eines, mateixos procediments, mateixos criteris. Però designació individual, contracte individual i supervisió individual. El que sempre falla és assumir que el DPD del franquiciador cobreix per contagi el franquiciat."
Mario P. Talamillo · Soci director, Certix®
Designació voluntària del DPD
L'art. 37.4 RGPD permet que qualsevol responsable que no estigui obligat designi DPD voluntàriament. Si ho fa, totes les regles de l'art. 38 i l'art. 39 RGPD se li apliquen igual que a un DPD obligatori: no es tracta d'un DPD de segona. L'AEPD (Agència Espanyola de Protecció de Dades) reconeix la designació voluntària com a evidència del principi de responsabilitat proactiva de l'art. 24 RGPD.
En franquícia, la designació voluntària pot tenir sentit quan els franquiciats no estan tècnicament obligats però volen alinear-se amb l'estàndard de la marca per motius reputacionals, contractuals (el contracte de franquícia els ho exigeix) o d'organització interna.
Notificació a l'AEPD
L'art. 37.7 RGPD obliga a publicar les dades de contacte del DPD i comunicar-les a l'autoritat de control. A Espanya la notificació es fa a través de la seu electrònica de l'AEPD (Agència Espanyola de Protecció de Dades). Cada empresa que designi DPD fa la seva pròpia notificació, també quan és un DPD extern comú a diverses.
Checklist per al repartiment de DPD a la xarxa
- Analitzar separadament la situació del franquiciador, en funció de l'escala i centralització dels seus tractaments.
- Analitzar separadament la situació de cada franquiciat (o, almenys, modelitzar els perfils típics: franquiciat petit, mitjà, gran).
- Verificar si el sector de la franquícia activa supòsits de l'art. 34 LOPDGDD.
- Si el franquiciador està obligat: designar DPD, notificar a l'AEPD, dotar de recursos i independència.
- Si alguns franquiciats estan obligats: oferir-los la possibilitat de contractar el mateix DPD extern (designació individual coordinada).
- Documentar l'anàlisi de no obligació quan la conclusió és que no cal DPD, com a evidència de responsabilitat proactiva.
- Incloure al contracte de franquícia un compromís del franquiciat d'avaluar la seva pròpia obligació i comunicar al franquiciador la designació que efectuï.
- Coordinar procediments comuns (atenció de drets, bretxes, formació) però respectar la independència formal de cada designació.
Preguntes freqüents
És obligatori designar DPD en una xarxa de franquícia?
Depèn de l'anàlisi individual del franquiciador i de cada franquiciat d'acord amb l'art. 37 RGPD i l'art. 34 LOPDGDD. El franquiciador amb tractaments centralitzats a gran escala acostuma a estar obligat; els franquiciats, segons escala i sector. Cada cas requereix anàlisi individualitzada.
Pot el franquiciador designar un únic DPD per a tota la xarxa?
L'art. 37.2 RGPD s'aplica a grup empresarial en sentit estricte (matriu i filials), no a la xarxa de franquícia entre empreses independents. La fórmula pràctica és la designació coordinada: el mateix DPD extern contractat per separat per franquiciador i franquiciats obligats.
Quines responsabilitats té el DPD en una xarxa amb corresponsables i encàrrecs creuats?
Les de l'art. 39 RGPD respecte de l'empresa que el va designar. No respon personalment de les decisions del responsable: l'art. 38.3 RGPD garanteix la seva independència funcional. La responsabilitat última del compliment sempre és del responsable.
Què passa si el franquiciador té DPD i el franquiciat no, o al revés?
És la situació habitual i no és problemàtica si cada empresa ha analitzat la seva obligació. El franquiciador amb tractaments massius pot estar obligat i els franquiciats no, o al revés en sectors que activin l'art. 34 LOPDGDD individualment. El que importa és que cadascun designi si li correspon.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica i sectorial pot ampliar o modificar requisits.
La teva xarxa de franquícia necessita un DPD coordinat que serveixi la marca i els franquiciats obligats?
A Certix t'assignem un DPD extern expert en xarxes de marca. Designació coordinada, sense intermediaris comercials, sense plantilles genèriques.
Parlar amb un expert