El pasado miércoles 10 de junio aparecía en prensa la sanción impuesta por la Agencia Española de Protección de Datos a Glovo con una multa de 25.000 € por no contar con un delegado de Protección de Datos

 Cabe recordar que el delegado de Protección de Datos fue una nueva figura introducida por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo cuyas funciones principales son la de informar y asesorar a la entidad y a los empleados sobre las obligaciones del RGPD, supervisar el cumplimiento en materia de protección de datos personales, así como actuar como interlocutor de la entidad en su calidad de responsable del tratamiento y la Agencia Española de Protección de Datos (AEPD).

• Supuestos de designación obligatoria

En virtud de la normativa en materia de protección de datos la designación de un DPD es obligatoria para determinadas entidades. En este sentido, el RGPD regula una serie de actividades que en el caso de que sean llevadas a cabo por la entidad, la designación de un DPD será obligatoria, como, por ejemplo, actividades que requieran una observación sistemática y habitual de interesados a gran escala.

Concretamente en el caso de Glovo, la AEPD considera que la empresa es una entidad obligada a designar un DPP por cuanto que realiza un tratamiento de datos personales a gran escala atendiendo a la cantidad de clientes y usuarios que tiene. Por tanto, la designación de un DPD en la entidad resultaba obligatoria pese a que la compañía alegaba que ya había designado un Comité de Seguridad que velaba por el cumplimiento del RGPD.

Asimismo,  sin perjuicio de las actividades reguladas en el RGPD, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, “LOPDGDD”) establece una lista de entidades que en todo caso están obligadas a designar un DPD, entre otras, los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios, las entidades que desarrollen actividades de publicidad y prospección comercial, los centros docente, etc.

• Necesidad de efectuar un análisis sobre la necesidad de designar un DPD

No siempre resulta fácil determinar si la empresa está o no obligada a designar un DPD. Por ello, resulta totalmente necesaria la realización de un análisis previo de la actividad principal de la entidad respecto a los tratamientos que la misma lleve a cabo, a efectos de poder verificar si se encuentra dentro de los supuestos previstos por la normativa.

Sin perjuicio de lo anterior, las entidades pueden de forma voluntaria proceder a designar a un delegado de Protección de Datos, lo cual se configura como una buena práctica y además constituye un criterio de graduación de la sanción contemplado en la LOPDGDD, que permitiría atenuar la sanción económica por cualquier tipo de infracción.

• Sanciones

La falta de designación de un DPD en los supuestos legalmente establecidos está regulado en el RGPD como una infracción que puede llegar a ser sancionada con multas administrativas de 10.000.000 euros como máximo, o tratándose de una empresa, de una cuantía equivalente al 2%, como máximo, del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la mayor cuantía.

Lo cierto es que la AEPD no ha sido la primera autoridad de control en imponer una multa por incumplir esta obligación. En Europa, la Autoridad de Control de Hamburgo impuso el año pasado una multa de 51.000 euros a Facebook Germany GmBH por no contar con un DPD. Lo mismo ha sucedido en Bélgica, donde impusieron a la empresa Proximus una multa de 50.000 euros.

Quedamos a su disposición para cualquier duda que pudiera surgir.

__________________

Área Protección de Datos y Privacidad

+ 34 91 781 61 60

info@ecija.com