Què és el DPD i quina relació té amb l'AEPD?
El DPD (Delegat de Protecció de Dades), també conegut per la sigla anglesa DPO (Data Protection Officer), és la persona responsable de supervisar el compliment del RGPD dins d'una organització. Aquesta figura es regula als articles 37 a 39 del RGPD i es desenvolupa a Espanya per la Llei Orgànica 3/2018 (LOPDGDD).
L'AEPD (Agència Espanyola de Protecció de Dades) és l'organisme públic responsable de supervisar l'aplicació de la normativa de privacitat a Espanya. Actua com a punt de contacte oficial del DPD, rep el registre obligatori i pot requerir la seva intervenció en cas d'investigació o sanció.
Diferència entre DPD intern i DPD extern
El DPD pot ser un treballador de la pròpia organització (DPD intern) o un professional o entitat extern contractat (DPD extern).
Optar per un DPD extern presenta avantatges clars: major independència i objectivitat, coneixement actualitzat del marc normatiu sense cost de formació contínua, i cobertura immediata sense necessitat de crear un nou lloc de treball intern.
"L'AEPD no sanciona per sancionar. Busca que les organitzacions prenguin seriosament els drets de les persones. Quan ho fan, s'eviten els problemes."
Mario P. Talamillo · Soci director, Certix®
Quan és obligatori nomenar un DPD segons l'AEPD?
El RGPD estableix tres situacions en les quals el nomenament és obligatori:
- Autoritats o organismes públics
- Organitzacions les activitats principals de les quals impliquen el tractament a gran escala de categories especials de dades: dades de salut, biomètriques, genètiques, ideologia, religió, orientació sexual, etc.
- Organitzacions que duen a terme el seguiment habitual i sistemàtic a gran escala d'interessats: empreses de videovigilància massiva, plataformes digitals, publicitat conductual, etc.
L'article 34 de la LOPDGDD preveu casos addicionals per a determinats sectors a Espanya —col·legis professionals, centres educatius, entitats de crèdit, empreses d'assegurances, empreses de serveis d'inversió, distribuïdores d'energia, empreses de seguretat privada, federacions esportives quan tracten dades de menors, entre d'altres—, amb l'excepció dels professionals sanitaris que exerceixin a títol individual. L'obligació específica depèn d'una anàlisi individualitzada de cada organització; aquesta informació és orientativa i cada cas s'ha d'examinar individualment.
I si no s'encaixa en cap d'aquests casos?
Si la vostra organització no s'inclou en cap de les situacions anteriors, el nomenament no és obligatori, però és molt aconsellable tenir un DPD o assessorament especialitzat. L'AEPD assenyala que el compliment proactiu redueix significativament el risc de sancions.
Funcions del DPD: el que fa realment aquest professional
Supervisió del compliment normatiu
El DPD analitza les activitats de tractament de dades dutes a terme per l'organització i verifica que compleixen el RGPD i la LOPDGDD. Revisa els contractes amb tercers, avalua els encarregats del tractament i audita els procediments interns.
Tasques d'assessorament i formació
El DPD informa i assessora el responsable, els treballadors i totes les persones implicades en el tractament de dades. S'assegura que el personal rebi formació adequada i actualitzada.
Punt de contacte amb l'AEPD
El DPD actua com a intermediari oficial entre l'organització i l'Agència Espanyola de Protecció de Dades en investigacions o sol·licituds d'informació.
Avaluacions d'Impacte en Protecció de Dades (EIPD)
Quan es preveuen activitats de tractament d'alt risc, el DPD supervisa i assessora en l'elaboració de les Avaluacions d'Impacte en Protecció de Dades.
Gestió de bretxes de seguretat
Davant una bretxa de seguretat, el DPD coordina la resposta, avalua si cal notificar l'AEPD dins del termini màxim de 72 hores i gestiona la comunicació amb les persones afectades quan escaigui.
Com registrar el DPD davant l'AEPD: pas a pas
Un cop nomenat el DPD, l'organització ha de comunicar-ho a l'AEPD a través del servei habilitat a la seva seu electrònica (sedeagpd.gob.es). Aquest registre és obligatori i gratuït.
- Accediu a la seu electrònica de l'AEPD
- Seleccioneu el procediment de comunicació del DPD
- Identifiqueu-vos amb certificat digital, DNI electrònic o Cl@ve
- Empleneu les dades del responsable i del DPD designat
- Envieu la comunicació i conserveu el justificant de recepció
Sancions per incompliment de les obligacions del DPD
No designar un DPD quan és exigible, o no registrar-lo davant l'AEPD, són infraccions que poden comportar sancions significatives:
- Infraccions lleus: fins a 40.000 €
- Infraccions greus: entre 40.001 i 300.000 €
- Infraccions molt greus: fins a 20.000.000 € o el 4% de la facturació global anual
L'AEPD publica les resolucions sancionadores que s'indexen als motors de cerca i són accessibles per a clients, proveïdors i socis. El compliment no és tan sols una obligació legal: és un avantatge competitiu.
DPD i AEPD a Burgos: servei local d'abast nacional
A Certix, amb seu a Burgos, portem anys ajudant organitzacions a tota Espanya a complir la normativa de protecció de dades. Actuem com a DPD extern, gestionem el registre davant l'AEPD i supervisem el compliment continu. Sense comercials ni intermediaris: sempre sereu atesos directament per un expert.
Aquest contingut és merament orientatiu i no constitueix assessorament jurídic. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.