¿estoy obligado a designar un delegado de protección de datos en mi empresa

Para la mayoría de las pequeñas y medianas empresas y trabajadores autónomos no existe obligación

Un oficial de protección de datos, abreviado como OPD, generalmente no es obligatorio para las pequeñas y medianas empresas ordinarias y la mayoría de los trabajadores autónomos. El RGPD menciona una serie de situaciones específicas en las que un OPD sí es obligatorio, y más allá de eso, una organización es libre de designar uno por sí misma, sin que la ley lo obligue. En la práctica, un OPD obligatorio se presenta principalmente en organismos del sector público y en empresas cuya actividad principal consiste en la vigilancia a gran escala y estructurada de personas o en el tratamiento a gran escala de categorías especiales de datos personales, como datos de salud.

Una tienda en línea, una consultoría, un contratista o un trabajador autónomo con un paquete contable y algunas herramientas SaaS generalmente no cae en esas categorías. Esto no significa que no haya nada que hacer: incluso sin OPD, existe la obligación de poder demostrar qué datos personales se tratan y con qué propósito, por ejemplo en el registro de tratamientos, y esa obligación se aplica con la misma fuerza a una empresa individual. Quien dude sobre si sus propias actividades se incluyen en la categoría "a gran escala" o "estructurada", encontrará más orientación en la pregunta cuándo es necesaria una EIPD, porque la misma evaluación de riesgos a menudo surge junto con la cuestión del OPD.

En qué se basa esto: artículos 2 y 30 del RGPD

El RGPD determina en su artículo 2 el ámbito de aplicación material de la normativa, y el artículo 30 regula el registro de actividades de tratamiento con las excepciones que le aplican — la obligación misma del OPD se encuentra en otra parte de la normativa, pero el alcance y la naturaleza del tratamiento que intervienen allí se alinean con los mismos criterios que en el registro y la obligación de EIPD. Parte de esta evaluación es un hecho: cuántas personas se monitorean, cuán sistemáticamente, y qué tipo de datos se involucran. La Autoridad Holandesa de Protección de Datos publica orientación adicional sobre esto para la práctica holandesa, mientras que la cuestión de si un OPD es obligatorio se basa en la misma normativa en toda la UE — aunque la autoridad de control nacional, en los Países Bajos la Autoridad Holandesa de Protección de Datos y en otros estados miembros la autoridad de ese país, puede aplicar su propia orientación o requisitos de registro adicionales en relación con la designación de un OPD.