Los 3 casos en que la designación de un DPO es obligatoria (artículo 37 del RGPD explicado de forma sencilla)
·
Actualizado el ·
Por 
Bertrand Bucelle · 8 min de lectura
En resumen
- La designación de un DPO es obligatoria en tres casos (artículo 37 del RGPD): 1) el organismo es una autoridad u organismo público; 2) sus actividades de base implican un seguimiento regular y sistemático de personas a gran escala; 3) sus actividades de base implican un tratamiento a gran escala de datos sensibles o relativos a condenas. Fuera de estos casos, la designación es recomendada pero facultativa.
Los 3 casos en los que la designación de un DPO es obligatoria
La designación de un Delegado de Protección de Datos (DPO) no es sistemática. El RGPD ha definido tres casos precisos en los que esta función se convierte en una obligación legal. Comprender estos casos es esencial para cualquier organización que trate datos personales. Para una visión completa del tema, consulte nuestra guía completa del DPO externalizado.
Caso n.º 1: los organismos públicos
El artículo 37 del RGPD estipula claramente que toda autoridad pública u organismo público debe designar un DPO, independientemente de su tamaño o del tipo de datos tratados.
- Municipios, departamentos, regiones
- Hospitales públicos, CHU
- Administraciones públicas (Hacienda, educación nacional…)
- Establecimientos públicos de carácter industrial y comercial (EPIC)
La CNIL ha recordado firmemente esta obligación mediante requerimientos y una sanción ejemplar contra un municipio por no designación.
Caso n.º 2: el seguimiento regular y sistemático a gran escala
Este criterio concierne a las organizaciones cuyas actividades principales consisten en un seguimiento de las personas, «a gran escala». Regular: continuo o recurrente según un ritmo definido. Sistemático: automático, preestablecido y organizado.
- Elaboración de perfiles publicitarios (análisis del comportamiento para segmentar)
- Geolocalización (seguimiento GPS de vehículos de servicio)
- Videovigilancia extendida con seguimiento continuo
- Plataformas que rastrean el comportamiento de los usuarios
Una aplicación móvil que sigue los desplazamientos de decenas de miles de usuarios alcanza sin dificultad la noción de «gran escala».
Caso n.º 3: el tratamiento a gran escala de datos sensibles
La designación es obligatoria cuando las actividades de base implican un tratamiento a gran escala de datos sensibles (artículo 9: salud, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos o biométricos, vida u orientación sexual) o de datos relativos a condenas penales (artículo 10).
- Establecimientos de salud, clínicas, laboratorios
- Estructuras medicosociales (residencias de ancianos, centros de atención especializada)
- Empresas que analizan datos biométricos a gran escala
¿Y si no estoy en ninguno de estos casos?
La designación se vuelve facultativa, pero la CNIL la recomienda firmemente. Un DPO, aunque sea externalizado y a tiempo compartido, estructura la gobernanza, reduce el riesgo y materializa su buena fe. Muchos clientes exigen ahora un DPO designado de sus subcontratistas: se ha convertido en un criterio en las licitaciones. Una solución eficaz para las pequeñas estructuras es el DPO mancomunado.
¿Qué se arriesga en caso de no designación?
La falta de designación, cuando es obligatoria, constituye un incumplimiento del RGPD pasible de las sanciones del artículo 83: hasta 10 millones de euros o el 2 % de la facturación anual mundial. Más allá de la multa, la ausencia de DPO fragiliza toda la gobernanza de los datos y la relación con las autoridades.
Pase a la acción
Descargue nuestra parrilla de autoevaluación «¿Estoy obligado a designar un DPO?» y estime su cumplimiento en 5 minutos.
Descubrir el DPO externalizado →Probar mi cumplimiento gratuitamente