Para ayudaros con las gestiones de vuestro día a día como autónomos, especialmente en el caso de las más arduas y complejas, desde Infoautónomos hemos consultado a expertos en protección de datos y cumplimiento normativo para aclarar una duda recurrente entre nuestros usuarios:
¿Qué autónomos están obligados a contar con un Delegado de Protección de Datos (DPO)?
Pues la respuesta depende fundamentalmente del tipo de datos que se traten y del volumen o la naturaleza del tratamiento.
Aunque la mayoría de los trabajadores por cuenta propia no estáis obligados, existen excepciones importantes recogidas tanto en el Reglamento General de Protección de Datos (RGPD) como en la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
Te lo explicamos con detalle.
Casos en los que un autónomo debe nombrar un DPO
Según nos explican desde Grupo Atico34, para un autónomo es obligatorio contratar un Delegado de Protección de Datos si realiza tratamientos de datos en alguno de los siguientes supuestos:
- Profesionales sanitarios que traten datos de salud de forma sistemática y a gran escala, como psicólogos, fisioterapeutas o dentistas con una cartera de pacientes significativa y que no ejerzan exclusivamente a título individual.
- Abogados, procuradores o detectives privados que manejen datos especialmente sensibles o relacionados con condenas e infracciones penales de manera habitual.
- Autónomos que lleven a cabo observación sistemática y regular de personas a gran escala, como la videovigilancia avanzada o el análisis de comportamiento en línea.
- En general, todos los profesionales que traten datos sensibles relacionados con la salud, genéticos, biométricos, creencias religiosas, opiniones políticas, orientación sexual, etc.
Desde Atico34 también aclaran que, si el autónomo no trata datos sensibles ni lo hace a gran escala y/o de manera sistemática, no está obligado a contar con un DPO.
Es el caso, por ejemplo, de los diseñadores gráficos freelance, consultores con pocos clientes o profesionales del mantenimiento o servicios técnicos que sólo gestionan datos de contacto básicos de sus clientes.
No obstante, recuerdan que la exención del DPO no implica quedar fuera del cumplimiento de la normativa.
Todos los autónomos que traten datos personales deben cumplir con el RGPD y la LOPDGDD, incluyendo aspectos como informar correctamente a los interesados, mantener un registro de actividades de tratamiento y aplicar medidas de seguridad adecuadas.
Por tanto, es fundamental conocer en qué casos es obligatorio contratar un Delegado de Protección de Datos, especialmente si se manejan datos sensibles o se trabaja en sectores regulados.
Ejemplos de sanciones de la AEPD a autónomos y cómo evitarlas
Aunque no tienen que estar necesariamente relacionadas con el DPO, en los últimos tiempos la Agencia Española de Protección de Datos (AEPD) ha impuesto numerosas sanciones a profesionales autónomos por incumplimientos del Reglamento General de Protección de Datos (RGPD).
En la mayoría de casos, los errores cometidos son fácilmente evitables y evidencian una carencia de formación básica en materia de privacidad.
Uno de los más notorios fue el de un profesional que envió correos electrónicos comerciales a una lista de clientes sin utilizar la opción de copia oculta (CCO), dejando visibles las direcciones de todos los destinatarios.
La AEPD consideró que se trataba de una vulneración del principio de confidencialidad y de la seguridad del tratamiento, imponiéndole una sanción de 1.500 euros.
Un descuido tan simple como este se podría haber evitado con un conocimiento mínimo del funcionamiento del correo electrónico y de los principios básicos del RGPD.
Otro ejemplo fue el de un autónomo que gestionaba alquileres turísticos y pedía a sus clientes el envío de fotografías completas del DNI a través de WhatsApp.
El canal no solo era inadecuado desde el punto de vista de la seguridad, sino que además no se informaba de forma clara a los usuarios sobre cómo se tratarían esos datos. La sanción, en este caso, ascendió a 2.000 euros.
La AEPD recordó que el principio de minimización obliga a recoger solo los datos imprescindibles para la finalidad perseguida, y que cualquier tratamiento debe acompañarse de una política de privacidad accesible y comprensible.
Y una tercera resolución reciente afecta a un autónomo responsable de una app que solicitaba una copia íntegra del DNI para verificar la identidad de los usuarios.
El problema, según la AEPD, es que no se justificaba la necesidad de recopilar datos sensibles como la firma o la fotografía. La sanción fue de 1.000 euros, reducida a 600 por pronto pago.
La Agencia insistió en que no se pueden pedir datos "por defecto", sino que debe demostrarse su pertinencia en función del servicio prestado.
Como podéis comprobar, estas resoluciones ponen de manifiesto que el cumplimiento del RGPD no es una cuestión exclusiva de grandes empresas.
Cualquier autónomo que trate datos personales (ya sea para enviar una factura, gestionar una reserva o prestar un servicio online) debe conocer sus obligaciones legales y, en este sentido, el respaldo de un Delegado de Protección de Datos es una ayuda fundamental.
Pero, ¿cuánto cuesta un DPO?
Existen empresas de protección de datos como Grupo Atico34 que ofrecen sus precios de forma transparente en su web.
Así, se puede confirmar que sus precios empiezan desde 95 euros para autónomos y 180 euros incluyendo el servicio de Delegado de Protección de Datos.
Sin embargo, bien es cierto que los precios pueden variar, por lo que recomendamos ponerse en contacto directamente con las empresas del sector.
Lo que sí podemos y debemos advertir es que el precio no debe ser un factor decisivo por sí mismo, y que lo que siempre se debe buscar es la mejor relación calidad-precio.
Si hablamos de una empresa de protección de datos, esto implica:
- Contar con un equipo jurídico especializado, con experiencia y reputación demostrables.
- Ofrecer desde el primer momento una atención profesional.
- Brindar soporte y asesoramiento constante.
- Capacidad para dar solución a cualquier tipo de incidencia o solicitud.
También cabe destacar que el DPO debe estar inscrito en el registro de la Agencia Española de Protección de Datos (AEPD) a través de su sede electrónica.
Cualquier empresa o particular puede consultar si el DPO está realmente inscrito a través del buscador público que la AEPD ofrece en su sede electrónica.
En definitiva, recordar de nuevo que para determinados autónomos puede ser necesario e incluso obligatorio contratar un DPO, y más en unos tiempos en los que se avecinan nuevas normativas como la Ley de IA o la adaptación española de la Directiva NIS2 sobre ciberseguridad.
