«Somos demasiado pequeños para que nos afecte». Es la frase que más se oye sobre el delegado de protección de datos. Casi siempre es falsa, no porque la empresa esté obligada a nombrar uno, sino porque el tamaño nunca es el criterio adecuado.
El RGPD no fija ningún umbral de empleados, clientes o facturación. Se fija en una sola cosa: lo que haces con los datos personales. Tres situaciones hacen obligatoria la designación.
Caso 1: eres un organismo público
Las autoridades y los organismos públicos deben designar un DPO, sea cual sea el volumen de datos que traten. Es el caso más fácil de identificar: el criterio no depende ni de la plantilla ni de la actividad.
Caso 2: haces un seguimiento de personas a gran escala
Si el núcleo de tu actividad consiste en observar a las personas de forma regular y sistemática, a gran escala, el DPO pasa a ser obligatorio. En concreto: rastreo en línea, elaboración de perfiles de comportamiento, geolocalización, publicidad dirigida, scoring, prevención del fraude, objetos conectados.
«Gran escala» no se mide con un número mágico. Se valoran conjuntamente el número de personas afectadas, el volumen y la variedad de los datos, la duración del tratamiento y su alcance geográfico.
Una actividad aparentemente «de apoyo» se convierte en actividad principal en cuanto es justamente el servicio que vendes.
Caso 3: tratas datos sensibles a gran escala
Datos de salud, biometría, opiniones, afiliación sindical, orientación sexual, infracciones y condenas: si tratas estas categorías a gran escala y es el centro de tu actividad, la designación se impone. El nivel de experiencia y de seguridad que se espera sube un escalón.
Fuera de estos casos: es opcional, pero rara vez neutro
Si no se aplica ninguno de los tres casos, no estás obligado. Sin embargo, muchas empresas deciden designar un DPO voluntario, porque sus tratamientos son numerosos, complejos o sensibles. Ojo a un punto poco conocido: un DPO voluntario está sujeto al mismo régimen que un DPO obligatorio: independencia, recursos, ausencia de conflicto de intereses, funciones reglamentarias. No se nombra un DPO «para quedar bien».
La verdadera obligación es haberlo pensado
Incluso cuando la respuesta es «no», el RGPD espera que puedas demostrarlo. La buena práctica cabe en una página: una nota fechada que describa tus actividades, tus categorías de datos, tus mecanismos de seguimiento, tus volúmenes, y que concluya si existe la obligación o no.
Esta nota se revisa tras cada cambio de escala: una adquisición, un nuevo producto digital, una plataforma de IA, una centralización de datos, una expansión internacional. Es la que, el día de una inspección, demuestra que no ignoraste la cuestión.
Una sola pregunta, antes que todo lo demás
Hazte una sola pregunta antes que todo lo demás: ¿el seguimiento de personas o el tratamiento de datos sensibles está en el centro de mi actividad, a gran escala? Si es que sí, la designación no es opcional. Si es que no, déjalo por escrito, fecha la nota y guárdala junto con tus pruebas de cumplimiento.
La buena pregunta no es «¿soy lo bastante grande?», sino «¿qué hago realmente con los datos que recojo?»
