Tanto el Reglamento General de Protección de Datos (RGPD) como la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales establecen de forma explícita que las autoridades y organismos públicos deben designar un DPD. Esta obligación se aplica a todos los responsables y encargados del tratamiento de datos que actúen en el marco de la Administración Pública, a excepción de los tribunales en el ejercicio de su función judicial.
¿Qué se considera entidad de derecho público?
La definición de sector público en el ordenamiento jurídico español es amplia e incluye:
- La Administración General del Estado
- Las Administraciones de las Comunidades Autónomas
- Las Entidades de la Administración Local
- El sector público institucional: organismos autónomos, entidades públicas empresariales, agencias, universidades públicas y fundaciones del sector público
Una interpretación amplia que va más allá de la forma jurídica
El Comité Europeo de Protección de Datos recomienda una interpretación amplia de esta obligación, incluyendo no solo a las entidades formalmente públicas, sino también a aquellas organizaciones privadas que desempeñen funciones de interés público o ejerzan autoridad pública. Esto significa que no importa únicamente la forma jurídica, sino la naturaleza de las funciones que realiza la entidad.
Entidades específicamente obligadas según la legislación española
El artículo 34 de la Ley Orgánica 3/2018 recoge una lista de entidades que, en todo caso, deben contar con un Delegado de Protección de Datos. Entre ellas se incluyen:
- Universidades y centros docentes, públicos y privados
- Centros sanitarios que mantengan historias clínicas
- Operadores de telecomunicaciones y de juego online
- Entidades financieras, aseguradoras y de crédito
- Colegios profesionales y consejos generales
- Entidades que elaboren perfiles comerciales o traten datos a gran escala
- Federaciones deportivas que traten datos de menores
- Empresas de seguridad privada y distribuidores de energía o gas
Muchas de estas organizaciones forman parte del sector público o están directamente relacionadas con la prestación de servicios públicos esenciales.
Más razones: tratamiento de datos sensibles y observación sistemática
Las entidades públicas suelen cumplir además con otros supuestos que hacen obligatoria la designación de un DPD:
- Tratamiento a gran escala de datos sensibles o de antecedentes penales (como en hospitales, servicios sociales o fuerzas de seguridad)
- Observación sistemática y habitual de ciudadanos, como ocurre con la videovigilancia, el transporte público o la gestión administrativa de trámites electrónicos
¿Qué funciones cumple el Delegado de Protección de Datos?
El DPD no es una figura simbólica. Tiene funciones concretas y esenciales:
- Informar y asesorar al responsable o encargado del tratamiento
- Supervisar el cumplimiento normativo y las políticas internas de protección de datos
- Asesorar en las evaluaciones de impacto y supervisar su aplicación
- Actuar como punto de contacto ante la Agencia Española de Protección de Datos y otras autoridades de control
- Atender a los ciudadanos en relación con sus derechos sobre sus datos personales
Designar un Delegado de Protección de Datos no es solo cumplir con una obligación legal. Es una necesidad operativa y estratégica para cualquier entidad de derecho público. Permite garantizar el cumplimiento normativo, minimizar riesgos, proteger los derechos fundamentales de los ciudadanos y reforzar la transparencia institucional.
