Unha rede de franquía formula unha dobre pregunta en relación co Delegado de Protección de Datos: está obrigado o franquiador? Están obrigados os franquiados? E, se a resposta a algunha das dúas é afirmativa, pode haber un só DPD para toda a rede? A intuición empresarial empurra cara á simplificación: un DPD común para toda a marca. A regulación é máis matizada e esixe analizar caso por caso.
Este artigo explica as regras aplicables: o art. 37 RGPD sobre obriga de designación, o art. 37.2 RGPD sobre DPD único en grupo empresarial, o art. 34 LOPDGDD sobre supostos adicionais no dereito español, e as figuras do art. 38 e art. 39 RGPD sobre posición e funcións.
Cando é obrigatorio o DPD: art. 37 RGPD e art. 34 LOPDGDD
O art. 37.1 RGPD obriga a designar DPD en tres supostos:
- Cando o responsable ou encargado é unha autoridade ou organismo público (non procede en franquía privada).
- Cando as actividades principais consisten en operacións de tratamento que, pola súa natureza, alcance ou fins, requiren unha observación habitual e sistemática de interesados a gran escala.
- Cando as actividades principais consisten no tratamento a gran escala de categorías especiais do art. 9 (saúde, etc.) ou de datos do art. 10 (condenas e infraccións).
O art. 34 LOPDGDD complementa o RGPD cun listado adicional de supostos onde a designación é obrigatoria en España (entidades financeiras, centros sanitarios obrigados a levar historia clínica, distribuidores enerxéticos, prestadores de servizos da sociedade da información que elaboren perfís a gran escala, entre outros).
Nunha rede de franquía, a pregunta desdóbrase: a situación do franquiador e a de cada franquiado deben analizarse por separado, porque son empresas xuridicamente distintas con tratamentos distintos.
Cando o necesita tipicamente o franquiador
O franquiador centraliza con frecuencia tratamentos a gran escala que non existen illados en cada franquiado: app do consumidor con millóns de descargas, programa de fidelización nacional, CRM unificado, perfilado de clientes, analítica avanzada, campañas masivas. Cando eses tratamentos constitúen unha actividade principal da sociedade franquiadora (ou da sociedade de servizos do grupo), a designación de DPD é tipicamente obrigatoria en aplicación do art. 37.1.b RGPD.
Se a marca opera en sectores onde se tratan categorías especiais de forma central (por exemplo, unha franquía de servizos sanitarios), tamén se activa o art. 37.1.c RGPD.
Cando o necesita tipicamente o franquiado
O franquiado, pola súa escala local, non adoita realizar tratamentos a gran escala que activen a obriga xeral do art. 37.1.b RGPD. A obriga aparece cando o sector da franquía é un dos do art. 34 LOPDGDD ou cando, individualmente, o franquiado realiza tratamentos masivos pola súa propia conta. En sectores xeneralistas (restauración, retail, servizos estandarizados), o franquiado individual raramente está obrigado.
Aínda que esta é a regra xeral do sector, a esixencia final dependerá da escala, volume e tipoloxía exacta dos tratamentos de cada entidade. Cada caso require unha análise individualizada.
O art. 37.2 RGPD: DPD único en grupo empresarial
O art. 37.2 RGPD permite que un grupo empresarial designe un só DPD, sempre que sexa facilmente accesible dende cada establecemento. A pregunta operativa é: é unha rede de franquía un grupo empresarial para efectos do art. 37.2 RGPD?
| Escenario | Art. 37.2 RGPD? | Solución habitual |
|---|---|---|
| Grupo empresarial do franquiador (matriz + filiais) | Si aplicable. | DPD único dentro do grupo, designado e notificado pola entidade cabeceira. |
| Franquiador e franquiados independentes | Non aplicable directamente: non son grupo do art. 4.19 RGPD. | Cada empresa designa por separado. Posible DPD externo común contratado individualmente por cada unha. |
| Franquiados que son filiais da matriz franquiadora | Aplicable entre os que si pertencen ao grupo. | DPD único entre matriz e filiais; os franquiados alleos ao grupo, por separado. |
A fórmula práctica: DPD externo común contratado por separado
A solución máis estendida en redes de franquía obrigadas é a designación coordinada: o franquiador designa o seu DPD (interno ou externo), e cada franquiado que estea obrigado contrata individualmente co mesmo DPD externo que o franquiador. Cada empresa fai a súa propia designación, a súa propia notificación á AEPD e o seu propio contrato.
Vantaxes operativas: o DPD coñece a rede, os procedementos comúns, os provedores e as ferramentas; os franquiados benefícianse do estándar de marca; a coordinación de incidencias é máis sinxela. O que non cambia é que cada empresa segue sendo responsable autónomo do seu cumprimento e o DPD traballa con cada unha en relación bilateral, coa independencia funcional do art. 38.3 RGPD.
Posición e funcións do DPD (art. 38 e art. 39 RGPD)
Sexa cal sexa o modelo elixido, o DPD designado en calquera empresa da rede debe gozar das garantías do art. 38 RGPD: implicación axeitada e temperá en cuestións de protección de datos, recursos suficientes para desempeñar as súas funcións, ausencia de instrucións sobre o exercicio das funcións, non sancionable polo seu desempeño, dependencia do máis alto nivel xerárquico e obriga de segredo.
As súas funcións, conforme ao art. 39 RGPD, son:
- Informar e asesorar ao responsable, ao encargado e aos seus empregados sobre as obrigas do RGPD.
- Supervisar o cumprimento do RGPD e das políticas internas, incluíndo a asignación de responsabilidades, a concienciación e formación do persoal e as auditorías correspondentes.
- Asesorar en relación coa avaliación de impacto e supervisar a súa aplicación.
- Cooperar coa autoridade de control (a AEPD en España).
- Actuar como punto de contacto da autoridade de control en relación con tratamentos e consultas previas.
"Nunha rede de franquía, o DPD coordinado funciona moi ben sempre que cada empresa entenda que o DPD traballa para ela, non para a marca. Mesmo DPD, mesmas ferramentas, mesmos procedementos, mesmos criterios. Pero designación individual, contrato individual e supervisión individual. O que falla sempre é asumir que o DPD do franquiador cobre por contaxio ao franquiado."
Mario P. Talamillo · Socio director, Certix®
Designación voluntaria do DPD
O art. 37.4 RGPD permite que calquera responsable que non estea obrigado designe DPD voluntariamente. Se o fai, todas as regras do art. 38 e art. 39 RGPD aplícanlle igual ca a un DPD obrigatorio: non se trata dun DPD de segunda. A AEPD recoñece a designación voluntaria como evidencia do principio de responsabilidade proactiva do art. 24 RGPD.
En franquía, a designación voluntaria pode ter sentido cando os franquiados non están tecnicamente obrigados pero queren aliñarse co estándar da marca por motivos reputacionais, contractuais (o contrato de franquía esíxello) ou de organización interna.
Notificación á AEPD
O art. 37.7 RGPD obriga a publicar os datos de contacto do DPD e comunicalos á autoridade de control. En España a notificación faise a través da sede electrónica da AEPD. Cada empresa que designe DPD fai a súa propia notificación, tamén cando é un DPD externo común a varias.
Checklist para o reparto de DPD na rede
- Analizar separadamente a situación do franquiador, en función da escala e centralización dos seus tratamentos.
- Analizar separadamente a situación de cada franquiado (ou, polo menos, modelizar os perfís típicos: franquiado pequeno, mediano, grande).
- Verificar se o sector da franquía activa supostos do art. 34 LOPDGDD.
- Se o franquiador está obrigado: designar DPD, notificar á AEPD, dotar de recursos e independencia.
- Se algúns franquiados están obrigados: ofrecerlles a posibilidade de contratar ao mesmo DPD externo (designación individual coordinada).
- Documentar a análise de non obriga cando a conclusión é que non fai falta DPD, como evidencia de responsabilidade proactiva.
- Incluír no contrato de franquía un compromiso do franquiado de avaliar a súa propia obriga e comunicar ao franquiador a designación que efectúe.
- Coordinar procedementos comúns (atención de dereitos, brechas, formación) pero respectar a independencia formal de cada designación.
Preguntas frecuentes
É obrigatorio designar DPD nunha rede de franquía?
Depende da análise individual do franquiador e de cada franquiado conforme ao art. 37 RGPD e art. 34 LOPDGDD. O franquiador con tratamentos centralizados a gran escala adoita estar obrigado; os franquiados, segundo escala e sector. Cada caso require análise individualizada.
Pode o franquiador designar un único DPD para toda a rede?
O art. 37.2 RGPD aplícase a grupo empresarial en sentido estrito (matriz e filiais), non á rede de franquía entre empresas independentes. A fórmula práctica é a designación coordinada: o mesmo DPD externo contratado por separado por franquiador e franquiados obrigados.
Que responsabilidades ten o DPD nunha rede con corresponsables e encargos cruzados?
As do art. 39 RGPD respecto á empresa que o designou. Non responde persoalmente das decisións do responsable: o art. 38.3 RGPD garante a súa independencia funcional. A responsabilidade última do cumprimento sempre é do responsable.
Que pasa se o franquiador ten DPD e o franquiado non, ou ao revés?
É a situación habitual e non é problemática se cada empresa analizou a súa obriga. O franquiador con tratamentos masivos pode estar obrigado e os franquiados non, ou ao revés en sectores que activen o art. 34 LOPDGDD individualmente. O que importa é que cada un designe se lle toca.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica e sectorial pode ampliar ou modificar requisitos.
A túa rede de franquía necesita un DPD coordinado que sirva á marca e aos franquiados obrigados?
En Certix asignámosche un DPD externo experto en redes de marca. Designación coordinada, sen intermediarios comerciais, sen plantillas xenéricas.
Falar cun experto