DPD: qué es el Delegado de Protección de Datos y qué debe hacer en tu clínica

1. Qué es el DPD, en una frase

El DPD —Delegado de Protección de Datos, también citado como DPO por sus siglas en inglés Data Protection Officer— es la figura prevista en el RGPD que asesora al responsable del tratamiento sobre el cumplimiento de la normativa de protección de datos, supervisa la aplicación de las obligaciones legales y actúa como interlocutor con la autoridad de control y con los interesados que ejercen sus derechos.

1.1. Una figura del RGPD

El DPD nace en el propio Reglamento General de Protección de Datos con un rol definido por ley: asesorar, supervisar y actuar como punto de contacto. No es una figura ejecutiva ni decisoria en el tratamiento —esa responsabilidad sigue estando en el responsable del tratamiento— y no es tampoco una figura de auditoría interna al uso, sino una específica del régimen europeo de protección de datos.

1.2. Interno o externo

El DPD puede ser una persona empleada por la organización o un profesional externo contratado por servicios. Ambas opciones son igualmente válidas para el RGPD, y la elección depende del tamaño de la organización, del volumen de tratamiento, de las capacidades internas disponibles y del presupuesto. Muchas clínicas privadas de tamaño medio optan por la vía del DPD externo contratado por servicios profesionales anuales.

2. Cuándo es obligatorio nombrar DPD

El RGPD y la LOPDGDD establecen los supuestos en los que la designación es obligatoria.

2.1. Tratamiento a gran escala de datos de salud

El tratamiento a gran escala de categorías especiales de datos —entre ellos, los datos de salud— es uno de los supuestos que el RGPD identifica como obligatorio para la designación de DPD. La AEPD ha publicado orientación sobre cómo interpretar «gran escala» en el sector sanitario, con criterios de número de pacientes, volumen de datos y alcance geográfico como factores relevantes en la valoración conjunta del caso concreto.

2.2. Otros supuestos legales

La LOPDGDD amplía el catálogo de supuestos en los que la designación es obligatoria, incluyendo entidades sanitarias legalmente obligadas al mantenimiento de historias clínicas de los pacientes, entre otros. La lista concreta está en el artículo 34 de la LOPDGDD, y cualquier clínica debe leerlo directamente con asesoramiento profesional para valorar su caso concreto.

2.3. Designación voluntaria

Una organización que no esté obligada a designar DPD puede hacerlo voluntariamente, y en ese caso el DPD queda sujeto al mismo régimen de garantías y obligaciones que el DPD obligatorio. La designación voluntaria es una decisión de gestión de riesgo y de imagen, y no exime del cumplimiento del resto de obligaciones que el RGPD impone al responsable del tratamiento en cualquier caso.

3. Cuáles son sus funciones

El RGPD detalla las funciones del DPD en su artículo 39.

3.1. Asesoramiento

El DPD asesora al responsable del tratamiento y a sus empleados sobre las obligaciones que impone el RGPD y la LOPDGDD. Ese asesoramiento cubre desde el diseño de nuevos tratamientos hasta la resolución de dudas puntuales del día a día, y debe estar documentado por escrito cuando afecte a decisiones de trascendencia jurídica o cuando el DPD estime que la constancia escrita es relevante para la trazabilidad.

3.2. Supervisión del cumplimiento

El DPD supervisa el cumplimiento del RGPD, de otras disposiciones aplicables y de las políticas del responsable del tratamiento en materia de protección de datos. Esa supervisión incluye la asignación de responsabilidades, la formación del personal y las auditorías correspondientes, con el alcance y la periodicidad que el DPD estime necesarias en función del tamaño del responsable y del riesgo real del tratamiento.

3.3. Punto de contacto

El DPD es el punto de contacto de la AEPD con la organización y de los interesados que ejercen sus derechos ARSOPL. Cualquier reclamación, requerimiento o consulta se canaliza a través del DPD, cuyos datos de contacto deben estar públicamente accesibles y comunicados formalmente a la autoridad de control mediante el procedimiento establecido para ello.

4. Independencia y garantías de la figura

El RGPD dota al DPD de una independencia funcional que es garantía del cumplimiento efectivo.

4.1. No recibe instrucciones

El DPD no recibe instrucciones respecto al desempeño de sus funciones. Actúa con independencia de criterio y con acceso directo al máximo nivel jerárquico de la organización sin filtros intermedios. Esta independencia es sustantiva y no meramente formal: cualquier presión sobre el criterio del DPD es infracción sancionable por la AEPD y da lugar a las consecuencias jurídicas que el ordenamiento prevé para estas situaciones.

4.2. No puede ser destituido por ejercer sus funciones

El DPD no puede ser destituido ni sancionado por el responsable del tratamiento como consecuencia del desempeño de sus funciones. Esta garantía protege la libertad de criterio del DPD frente a represalias por informar en contra de decisiones directivas o por notificar incumplimientos a la propia autoridad. La destitución motivada por el ejercicio del cargo es nula de pleno derecho y puede dar lugar a responsabilidad adicional del responsable.

4.3. Reporta al máximo nivel jerárquico

El DPD reporta directamente al máximo nivel jerárquico del responsable del tratamiento —dirección general, consejo de administración o figura equivalente en la organización correspondiente— sin filtros intermedios que puedan mediar en el flujo de comunicación. Este acceso directo garantiza que las alertas del DPD lleguen a quien tiene capacidad de decidir sobre el tratamiento y sobre las medidas correctoras que sean necesarias adoptar.

5. Perfil profesional del DPD

El RGPD exige unas cualidades profesionales al DPD, aunque no impone titulación específica formal.

5.1. Conocimientos especializados

El DPD debe tener conocimientos especializados del derecho y la práctica en materia de protección de datos, con nivel proporcional al riesgo y al volumen del tratamiento que va a supervisar. Para una clínica que trata datos de salud, ese nivel es alto: no basta con un curso genérico de RGPD, hace falta conocimiento sectorial en normativa sanitaria complementaria y en las especificidades del tratamiento de categorías especiales de datos personales.

5.2. Certificaciones profesionales

Existen esquemas de certificación de DPD reconocidos por la AEPD que acreditan formalmente los conocimientos exigidos por el RGPD. La certificación no es obligatoria por ley, pero es una garantía objetiva de nivel profesional y una vía habitual de acreditación en concursos, en contratación de servicios externos y en el ejercicio del cargo ante inspecciones u otras situaciones que exijan justificar la solvencia técnica.

5.3. Sin conflicto de intereses

El DPD no puede desempeñar funciones que generen conflicto de intereses con su cargo. Un DPD que sea a la vez responsable de sistemas, responsable de recursos humanos o de dirección médica en la misma organización está en conflicto y no cumple los requisitos del RGPD para ejercer legítimamente la figura. La designación con conflicto es infracción y ha sido sancionada expresamente por la AEPD en resoluciones publicadas.

6. Cómo se relaciona con la AEPD

La AEPD es el interlocutor institucional principal del DPD.

6.1. Comunicación del nombramiento

La designación del DPD debe comunicarse formalmente a la AEPD por el procedimiento habilitado para ello. La comunicación incluye los datos del responsable, los datos del DPD y la fecha efectiva del nombramiento. Los cambios y el cese también se comunican por la misma vía, con los datos correspondientes al cambio efectivo que se está notificando en cada caso.

6.2. Consultas al DPD

La AEPD puede dirigir consultas al DPD directamente en el ejercicio de sus funciones de supervisión, y el DPD tiene obligación de responder con la información y la documentación que se le requieran en el plazo establecido. Esa comunicación directa AEPD-DPD es parte del régimen de la figura y refuerza el carácter de puente institucional que el DPD tiene entre la organización y la autoridad de control competente.

6.3. Traslado de reclamaciones

Cuando la AEPD recibe una reclamación contra una organización con DPD, traslada la reclamación al DPD para que la organización responda por su intermedio. El DPD prepara la respuesta con la documentación del expediente y la remite a la AEPD en el plazo que se le indique. La calidad de esa respuesta es determinante para la resolución del expediente y su gradación en caso de sanción.

7. Qué debe cumplir tu software con el DPD

Cinco criterios para verificar que la infraestructura del centro facilita el trabajo del DPD.

7.1. Los tres criterios de acceso

• Acceso del DPD al registro de actividades con permiso específico y trazado.
• Consulta de logs de acceso a datos sin necesidad de intermediarios técnicos.
• Panel de solicitudes de derechos ARSOPL con estado y trazabilidad completa.

7.2. Los dos criterios de comunicación

• Buzón del DPD accesible desde el propio portal del paciente y desde la web.
• Reporte de brechas con la información estructurada que la notificación a la AEPD exige.

7.3. La prueba con un expediente simulado

Coge una reclamación imaginaria de un paciente y simula el trabajo del DPD ante la AEPD. Comprueba que el DPD localiza la información del expediente en minutos, prepara la respuesta con datos objetivos del sistema y documenta el trámite. Si el circuito funciona en horas, la infraestructura acompaña al DPD. Si exige llamadas al proveedor, el DPD trabaja con una mano atada.

8. Errores frecuentes al hablar del DPD

Tres confusiones habituales en la conversación de cumplimiento del sector.

8.1. «El DPD y el responsable de sistemas es la misma persona»

No pueden serlo. El RGPD prohíbe expresamente el conflicto de intereses en el ejercicio del cargo de DPD, y la responsabilidad de los sistemas de información entra en conflicto directo con la supervisión que el DPD debe ejercer sobre esos mismos sistemas. La designación de un DPD con conflicto de intereses estructural es infracción sancionable independientemente del resto de obligaciones del responsable del tratamiento.

8.2. «El DPD es responsable de la protección de datos»

El responsable del tratamiento sigue siéndolo el responsable del tratamiento, y esa responsabilidad no se traslada al DPD por el hecho de designarlo. El DPD asesora, supervisa y actúa como punto de contacto institucional, pero las decisiones sobre el tratamiento y su cumplimiento las toma el responsable, que responde de ellas ante la AEPD y ante los tribunales que puedan enjuiciar los hechos si llegara el caso.

8.3. «Con contratar un DPD externo ya está todo cumplido»

Contratar un DPD externo es una decisión de gestión válida, pero no exime al responsable del resto de obligaciones que el RGPD impone. El DPD externo asesora y supervisa, pero el registro de actividades, las medidas técnicas y organizativas, la notificación de brechas, la formación del personal y el resto de deberes siguen siendo del responsable del tratamiento y se cumplen por el responsable, con el apoyo del DPD pero no en su lugar.

9. Qué aporta obeliOmed con esto

La infraestructura del centro está pensada para que el DPD tenga la información que necesita cuando la necesita.

9.1. Acceso del DPD con permiso propio

El DPD tiene un rol de acceso específico al sistema, con permiso para consultar registros, logs y expedientes de derechos sin intermediación técnica. Su actividad queda trazada como la de cualquier otro usuario, y su acceso no interfiere con la operativa asistencial del resto del equipo del centro que sigue trabajando con normalidad completa.

9.2. Panel de derechos ARSOPL

Las solicitudes de derechos entran por el mismo circuito que el resto de la operativa, se asignan al DPD, se gestionan en el plazo legal con recordatorios automáticos y se documentan con la respuesta entregada. El DPD tiene visión completa del estado, de los plazos y de la documentación en un único panel operativo que reduce a mínimos el trabajo administrativo del cargo.

9.3. Buzón del DPD público

El buzón del DPD está accesible desde el propio portal del paciente y desde la web pública, con el correo electrónico y el canal alternativo que el RGPD exige. Las comunicaciones entran registradas, con acuse de recibo y con la trazabilidad que un expediente ante la AEPD puede requerir, sin necesidad de reconstruir a mano quién envió qué el trimestre pasado por vías indirectas.