RGPD
Delegado de Protección de Datos externo
Primero, un análisis riguroso de si tu organización debe designar DPO. Después, el ejercicio de la función con supervisión real de los tratamientos y criterio jurídico.
Qué recibes
- 01
Informe de análisis de necesidad de designar DPO, con norma y supuesto aplicados.
- 02
Documentación de la designación y comunicación a la AEPD cuando proceda.
- 03
Ejercicio continuado de la función de DPO externo: supervisión, asesoramiento y relación con interesados y autoridad.
- 04
Calendario de supervisión y registro de consultas y actuaciones.
- 05
Informe periódico de actividad de la función de DPO.
No incluye: El DPO externo no sustituye la responsabilidad del responsable del tratamiento: supervisa y asesora, no asume las decisiones del negocio.; No incluye la ejecución técnica de medidas de seguridad en sistemas.; No incluye la defensa en procedimientos sancionadores, que se presupuestaría como servicio independiente..
Cómo funciona
- 01
Analizamos
Aplicamos el art. 37 RGPD y la lista del art. 34 LOPDGDD a la actividad y a los tratamientos reales de la organización.
- 02
Documentamos
Emitimos un informe de necesidad de designación que sostiene la decisión, sea designar o no designar.
- 03
Designamos
Si procede, Normolex asume la función de DPO externo y se formaliza la designación y su comunicación a la AEPD.
- 04
Supervisamos
Supervisión continuada de tratamientos, consultas de las áreas, derechos, brechas y relación con la autoridad de control.
- 05
Mantenemos
Revisión periódica del encaje de la función ante cambios de actividad, tratamientos o criterios de la AEPD.
Si te aplica
Deben designar DPO: (1) las autoridades y organismos públicos; (2) las entidades cuyas actividades principales impliquen observación habitual y sistemática de interesados a gran escala; (3) las que traten a gran escala categorías especiales de datos o datos de condenas e infracciones penales (art. 37 RGPD). Además, en España, la lista cerrada del art. 34 LOPDGDD obliga, entre otros, a: colegios profesionales y sus consejos; centros docentes públicos y privados y universidades; entidades que exploten redes de comunicaciones electrónicas; prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala; entidades de crédito y establecimientos financieros de crédito; entidades aseguradoras y reaseguradoras; empresas de servicios de inversión; distribuidoras y comercializadoras de energía eléctrica y gas natural; responsables de ficheros de solvencia patrimonial y prevención del fraude; entidades de publicidad y prospección comercial que elaboren perfiles; centros sanitarios que mantengan historias clínicas (con matiz para profesionales individuales); emisores de informes comerciales; operadores de juego online; empresas de seguridad privada; y federaciones deportivas que traten datos de menores. Fuera de estos supuestos, la designación es voluntaria pero debe quedar analizada y documentada.
Qué necesitamos de tu organización
- Descripción de la actividad y de los tratamientos principales (o el RAT, si existe).
- Información sobre volumen y tipo de datos: categorías especiales, perfilado, datos de menores.
- Interlocutor interno con acceso a las áreas para la supervisión.
- Compromiso de independencia de la función: el DPO no recibe instrucciones sobre el resultado de sus análisis.
Preguntas frecuentes
Lo que suele preguntarse
- Aplicando dos filtros. Primero, el art. 37 RGPD: autoridades y organismos públicos; actividades principales que impliquen observación habitual y sistemática de interesados a gran escala; o tratamiento a gran escala de categorías especiales de datos o de datos de condenas e infracciones. Segundo, la lista cerrada del art. 34 LOPDGDD, que en España obliga a colectivos concretos: colegios profesionales, centros docentes y universidades, operadores de comunicaciones electrónicas, PSSI que elaboren perfiles a gran escala, entidades de crédito y financieras, aseguradoras, energéticas, ficheros de solvencia, publicidad y prospección con perfiles, centros sanitarios con historias clínicas, informes comerciales, juego online, seguridad privada y federaciones deportivas con menores. El análisis debe quedar documentado en uno u otro sentido.
Fuentes: Reglamento (UE) 2016/679 · BOE-A-2018-16673 · AEPD — DPO
Empecemos por tu caso.
Confirmamos el alcance y el precio antes de formalizar el encargo.