Delegado de Protección de Datos: las 15 categorías de entidades obligadas a tenerlo

El Reglamento europeo de protección de datos exige designar un delegado de protección de datos en determinados supuestos generales, pero la Ley Orgánica española va más allá: añade un catálogo extenso y detallado de entidades que deben tener esta figura en todo caso.

La designación obligatoria: un catálogo de quince categorías

El artículo 34.1 establece que responsables y encargados del tratamiento deben designar un delegado de protección de datos en los supuestos del Reglamento europeo, y en todo caso, cuando se trate de las entidades que la propia ley enumera. Ese catálogo incluye a los colegios profesionales y sus consejos generales; los centros docentes de cualquier nivel educativo y las universidades públicas y privadas; las entidades que exploten redes o presten servicios de comunicaciones electrónicas a gran escala; los prestadores de servicios de la sociedad de la información que elaboren perfiles de usuarios a gran escala; las entidades de crédito; los establecimientos financieros de crédito; las aseguradoras y reaseguradoras; y las empresas de servicios de inversión.

Más entidades obligadas

El listado continúa con los distribuidores y comercializadores de energía eléctrica y de gas natural; las entidades responsables de ficheros comunes de solvencia patrimonial y crédito, o de prevención del fraude, incluidos los ficheros de prevención del blanqueo de capitales; las entidades de publicidad y prospección comercial que elaboren perfiles; los centros sanitarios obligados a mantener historias clínicas —salvo los profesionales de la salud que ejerzan a título individual—; las entidades que emitan informes comerciales sobre personas físicas; los operadores de juego online; las empresas de seguridad privada; y las federaciones deportivas cuando traten datos de menores.

La designación voluntaria para el resto

El artículo 34.2 abre la puerta a que cualquier otro responsable o encargado del tratamiento, no incluido en ese catálogo, designe voluntariamente un delegado de protección de datos, quedando igualmente sometido al régimen que fija el Reglamento europeo y la propia ley orgánica —es decir, la designación voluntaria genera las mismas obligaciones que la obligatoria, una vez hecha.

El plazo para comunicar la designación

El artículo 34.3 impone un plazo concreto: las designaciones, nombramientos y ceses de los delegados de protección de datos deben comunicarse en el plazo de diez días a la Agencia Española de Protección de Datos, o a la autoridad autonómica competente, tanto si la designación era obligatoria como si fue voluntaria.

El registro público de delegados

El artículo 34.4 obliga a la Agencia Española de Protección de Datos y a las autoridades autonómicas a mantener, en su ámbito respectivo, un listado actualizado de los delegados de protección de datos comunicados, precisamente para facilitar su localización por parte de los afectados que quieran ejercer sus derechos ante una entidad concreta.

Por qué esta lista española va más allá del RGPD

El Reglamento europeo condiciona la obligatoriedad del delegado a criterios generales —tratamiento a gran escala de categorías especiales de datos, seguimiento habitual y sistemático a gran escala, o autoridades públicas—. La ley española, en cambio, identifica de forma nominal sectores enteros de actividad que, por la sensibilidad de los datos que suelen manejar, deben tener esta figura sin necesidad de valorar caso por caso si cumplen esos criterios generales, dando así mayor seguridad jurídica sobre quién está obligado.

Esta guía es una explicación divulgativa de BOE Fácil, no asesoramiento jurídico. Para el texto oficial completo, consulta el artículo 34 de la Ley Orgánica de Protección de Datos.