Solemos imaginar al DPO como un seguro que se activa cuando surge un problema. Es justo al revés. Su valor se juega antes del incidente, cuando una decisión todavía se puede cambiar. Si se le consulta después, lo único que puede hacer es constatar los daños.
La lección de un caso real
En 2025, una gran cadena instaló cámaras ocultas en sus almacenes. Al DPO solo se le informó cuando el dispositivo ya estaba colocado, e incluso desmontado. Entre varios incumplimientos, la CNIL apreció que no se había contado con el DPO a tiempo e impuso una multa global de 100 000 euros.
El mensaje es claro: consultar al DPO cuando el proyecto ya está en marcha no basta. Si ya no puede influir en la decisión, la obligación no se cumple. La urgencia operativa no justifica nada: al contrario, obliga a prever una suplencia y una consulta previa.
Un dictamen emitido demasiado tarde no es un dictamen. Es un acta.
El hito que lo cambia todo
En la práctica, un DPO útil participa en la definición del proyecto, no en su entrega: antes de comprar un software, antes de diseñar un algoritmo, antes de elegir una base legal, antes de instalar un sistema de vigilancia. Algunos temas activan este hito de forma sistemática: datos sensibles, menores, biometría, scoring, IA, vigilancia de los empleados, transferencias fuera de Europa, recogida masiva de datos.
La fuga de datos: 72 horas, una sola vez
En caso de violación de datos, la cuenta atrás es corta: cuando existe un riesgo, la notificación a la CNIL debe hacerse sin dilación indebida y, si es posible, en un plazo de 72 horas. Hay que informar al DPO de inmediato para que asesore sobre el riesgo y la documentación, pero la decisión de notificar sigue correspondiendo al responsable del tratamiento.
Sin procedimiento ni suplencia, esas 72 horas se van en reuniones. Un buzón dpo@ que nadie revisa durante las vacaciones, la dependencia de una sola persona, la ausencia de un acceso de emergencia: pequeños detalles que ese día se traducen en una notificación fuera de plazo.
Lo que un DPO no hace, y es importante
Un DPO no asume tu responsabilidad. Asesora, controla y alerta de forma independiente; la responsabilidad de demostrar el cumplimiento sigue siendo tuya. Si un proveedor te promete «cero sanciones», desconfía: no es lo que prevé la ley y tampoco es lo que te protege.
Lo que te protege es el rastro documental: los dictámenes emitidos y fechados, las decisiones asumidas cuando te apartas de su criterio, la prueba de que se consultó al DPO a tiempo. El día de la inspección, ese expediente habla por ti.
Dos gestos para hacer desde hoy
Añade una casilla «dictamen del DPO» a tus proyectos que afecten a datos y redacta ya tu procedimiento de violación de datos: quién alerta, quién decide, quién suple durante las ausencias. Estos dos reflejos valen más que cualquier cláusula de un contrato.
El mejor momento para llamar a tu DPO es antes. El peor, cuando la CNIL ya te ha llamado.
