Què és el DPD i quina relació té amb l'AEPD?
El DPD (Delegat de Protecció de Dades), també conegut per la sigla anglesa DPO (Data Protection Officer), és la persona responsable de supervisar el compliment del RGPD dins d'una organització. Aquesta figura es regula als articles 37 a 39 del RGPD i es desenvolupa a Espanya per la Llei Orgànica 3/2018 (LOPDGDD).
L'AEPD (Agència Espanyola de Protecció de Dades) és l'organisme públic responsable de supervisar l'aplicació de la normativa de privacitat a Espanya. Actua com a punt de contacte oficial del DPD, rep el registre obligatori i pot requerir la seva intervenció en cas d'investigació o sanció.
Diferència entre DPD intern i DPD extern
El DPD pot ser un treballador de la pròpia organització (DPD intern) o un professional o entitat extern contractat (DPD extern).
Optar per un DPD extern presenta avantatges clars: major independència i objectivitat, coneixement actualitzat del marc normatiu sense cost de formació contínua, i cobertura immediata sense necessitat de crear un nou lloc de treball intern.
"L'AEPD no sanciona per sancionar. Busca que les organitzacions prenguin seriosament els drets de les persones. Quan ho fan, s'eviten els problemes."
Mario P. Talamillo · Soci director, Certix®
Quan és obligatori nomenar un DPD segons l'AEPD?
El RGPD estableix tres situacions en les quals el nomenament és obligatori:
- Autoritats o organismes públics
- Organitzacions les activitats principals de les quals impliquen el tractament a gran escala de categories especials de dades: dades de salut, biomètriques, genètiques, ideologia, religió, orientació sexual, etc.
- Organitzacions que duen a terme el seguiment habitual i sistemàtic a gran escala d'interessats: empreses de videovigilància massiva, plataformes digitals, publicitat conductual, etc.
L'article 34 de la LOPDGDD preveu casos addicionals per a determinats sectors a Espanya —col·legis professionals, centres educatius, entitats de crèdit, empreses d'assegurances, empreses de serveis d'inversió, distribuïdores d'energia, empreses de seguretat privada, federacions esportives quan tracten dades de menors, entre d'altres—, amb l'excepció dels professionals sanitaris que exerceixin a títol individual. L'obligació específica depèn d'una anàlisi individualitzada de cada organització; aquesta informació és orientativa i cada cas s'ha d'examinar individualment.
I si no s'encaixa en cap d'aquests casos?
Si la vostra organització no s'inclou en cap de les situacions anteriors, el nomenament no és obligatori, però és molt aconsellable tenir un DPD o assessorament especialitzat. L'AEPD assenyala que el compliment proactiu redueix significativament el risc de sancions.
Funcions del DPD: el que fa realment aquest professional
Supervisió del compliment normatiu
El DPD analitza les activitats de tractament de dades dutes a terme per l'organització i verifica que compleixen el RGPD i la LOPDGDD. Revisa els contractes amb tercers, avalua els encarregats del tractament i audita els procediments interns.
Tasques d'assessorament i formació
El DPD informa i assessora el responsable, els treballadors i totes les persones implicades en el tractament de dades. S'assegura que el personal rebi formació adequada i actualitzada.
Punt de contacte amb l'AEPD
El DPD actua com a intermediari oficial entre l'organització i l'Agència Espanyola de Protecció de Dades en investigacions o sol·licituds d'informació.
Avaluacions d'Impacte en Protecció de Dades (EIPD)
Quan es preveuen activitats de tractament d'alt risc, el DPD supervisa i assessora en l'elaboració de les Avaluacions d'Impacte en Protecció de Dades.
Gestió de bretxes de seguretat
Davant una bretxa de seguretat, el DPD coordina la resposta, avalua si cal notificar l'AEPD dins del termini màxim de 72 hores i gestiona la comunicació amb les persones afectades quan escaigui.
Consulta i comunicació del DPD a l'AEPD: com registrar-lo pas a pas
La consulta del DPD a l'AEPD i la seva comunicació són, a la pràctica, el mateix tràmit: un cop nomenat el DPD, l'organització ha de comunicar-lo (registrar-lo) a l'AEPD a través del servei habilitat a la seva seu electrònica (sedeagpd.gob.es). És la via oficial perquè l'AEPD identifiqui qui és el Delegat de Protecció de Dades de cada entitat. Aquest registre és obligatori i gratuït.
- Accediu a la seu electrònica de l'AEPD
- Seleccioneu el procediment de comunicació del DPD
- Identifiqueu-vos amb certificat digital, DNI electrònic o Cl@ve
- Empleneu les dades del responsable i del DPD designat
- Envieu la comunicació i conserveu el justificant de recepció
Què implica no designar o no comunicar el DPD
Si la teva organització està obligada a comptar amb un DPD i no el designa —o el designa però no el comunica a l'AEPD— incompleix una obligació del RGPD (art. 37.7) i de la LOPDGDD. Més enllà del règim sancionador de l'art. 83 RGPD, el que és realment rellevant és pràctic: sense DPD l'empresa es queda sense la figura que supervisa el compliment, assessora internament i actua com a punt de contacte amb l'AEPD.
Designar el DPD i comunicar-lo bé és, sobretot, una qüestió de diligència i de protegir les persones les dades de les quals tractes. Fer-ho de manera ordenada evita problemes i transmet confiança a clients i proveïdors.
DPD i AEPD a Burgos: servei local d'abast nacional
A Certix, amb seu a Burgos, portem anys ajudant empreses de tota Espanya amb la seva protecció de dades. T'ajudem a determinar si la teva empresa necessita un DPD, a entendre'n les funcions i a comunicar-lo correctament a l'AEPD, amb assessorament continu. Sense comercials ni intermediaris: sempre parlaràs directament amb un expert.
Aquest contingut és merament orientatiu i no constitueix assessorament jurídic. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.