El Delegado de Protección de Datos (DPD) es una figura que genera mucha confusión entre los psicólogos. Algunos asesores afirman que es obligatorio para cualquier profesional que trate datos de salud. Otros dicen que no aplica a consultas pequeñas. ¿Cuál es la respuesta correcta?

Qué es el DPD y para qué sirve

El DPD es una persona (interna o externa) que supervisa el cumplimiento del RGPD dentro de una organización. Actúa como punto de contacto con la AEPD, asesora sobre las obligaciones de protección de datos y supervisa la aplicación de las políticas internas. No es quien cumple el RGPD en lugar de la organización, sino quien verifica que se cumple.

Cuándo es obligatorio el DPD

El artículo 37 del RGPD establece tres supuestos en los que el DPD es obligatorio:

• Cuando el tratamiento lo lleva a cabo una autoridad u organismo público.
• Cuando las actividades principales consisten en operaciones de tratamiento que requieren una observación habitual y sistemática de interesados a gran escala.
• Cuando las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos (datos de salud, entre otros) o datos de condenas e infracciones penales.

El concepto clave es «a gran escala». El RGPD no define exactamente qué es gran escala, pero el Grupo de Trabajo del Artículo 29 (hoy Comité Europeo de Protección de Datos) ofrece orientación: hay que considerar el número de personas, el volumen de datos, la duración del tratamiento y el ámbito geográfico.

¿Los psicólogos autónomos están obligados?

La posición de la AEPD y del Comité Europeo de Protección de Datos es clara: un médico o profesional sanitario que trata datos de salud de sus propios pacientes en el ejercicio individual de su profesión no está tratando datos a gran escala, y por tanto no está obligado a nombrar un DPD.

Un psicólogo autónomo con una consulta individual, aunque trate datos de salud (categoría especial), no opera a gran escala en el sentido del RGPD. La misma conclusión aplica a pequeños centros de psicología con pocos profesionales.

Cuándo SÍ podría ser necesario para un psicólogo

Hay situaciones en las que la obligación podría surgir:

• Clínicas o centros grandes con muchos profesionales y miles de pacientes activos.
• Plataformas digitales de psicología online que conectan a múltiples terapeutas con pacientes (modelo tipo marketplace).
• Servicios de psicología corporativa que prestan asistencia a empleados de grandes empresas a escala nacional.

En estos casos, la escala del tratamiento puede equipararse a la de una entidad sanitaria mediana o grande, y la designación de un DPD sería recomendable aunque no siempre obligatoria.

¿Es recomendable tener DPD aunque no sea obligatorio?

Depende. Para una consulta individual, la figura del DPD formal puede ser desproporcionada. Lo que sí es recomendable es contar con asesoramiento externo especializado para el diseño inicial del sistema de cumplimiento y las revisiones periódicas. Esto cumple una función similar a la del DPD sin generar la carga administrativa de designarlo formalmente.

Consecuencias de no nombrar un DPD cuando es obligatorio

Si tu actividad encaja en los supuestos del artículo 37 y no has designado un DPD, estás cometiendo una infracción del RGPD sancionable con hasta 10 millones de euros o el 2% de la facturación anual global. Dicho esto, para una consulta individual o pequeña clínica, lo habitual es que no sea obligatorio.

Cómo saber con certeza si necesitas DPD

El test más sencillo: ¿tratas datos de salud de cientos o miles de personas de forma habitual y sistemática, o eres un profesional que atiende a sus propios pacientes en una consulta? Si eres lo segundo, casi con certeza no estás obligado a nombrar un DPD. Si hay dudas, consulta con un experto en protección de datos especializado en el sector sanitario.

Preguntas frecuentes

¿Debo registrar al DPD ante la AEPD?
Sí, cuando el DPD es obligatorio hay que comunicar sus datos a la AEPD. Si no es obligatorio y decides designarlo voluntariamente, también es recomendable comunicarlo.

¿Puede ser el DPD alguien de fuera de la consulta?
Sí, el DPD puede ser una persona externa (un asesor o empresa especializada). De hecho, para consultas pequeñas es la opción más habitual cuando se decide tener DPD voluntariamente.