¿Tienen las clínicas dentales la necesidad de nombrar a un Delegado de Protección de Datos (DPO)?

En poco tiempo va a hacer un año que entró en vigor el Reglamento General de Protección de Datos (RGPD) que supuso un antes y un después en los tratamientos de datos de carácter personal que se llevan a cabo en la Unión Europea. Lo cierto es que, al menos por una vez, nuestro país contaba con una legislación sobre esta materia muy avanzada y exigente por lo que la adaptación a la nueva regulación está siendo más sencilla que para otros países de nuestro entorno.

En cualquier caso, hemos tenido igualmente que adaptarnos a la nueva normativa, eso sí, quizá con menor esfuerzo, dado que ha habido cambios importantes, que trataremos en otros artículos y se han introducido figuras nuevas como el protagonista de esta entrada, el Delegado de Protección de Datos, más conocido como DPO (Data Protection Officer).

¿Cómo podríamos definir a un DPO? Un DPO es un especialista en protección de datos, que tiene que contar con conocimientos especializados en Derecho y práctica en la materia. Las funciones del DPO, las podríamos resumir en:

• Informar y asesorar al responsable o encargado del tratamiento del alcance de la normativa en protección de datos.
• Supervisar el cumplimiento de la legislación de protección de datos y de las políticas que sobre esta materia tengan el responsable o encargado del tratamiento de datos personales, así como la
  asignación de responsabilidades, la concienciación, la formación del personal que trate datos de carácter personal y llevar a cabo las auditorías necesarias.
• Asesorar en la realización de la Evaluación de Impacto relativa a la protección de datos y supervisar su aplicación.
• Cooperar con la Agencia Española de Protección de Datos y las Agencias autonómicas.

Tras conocer qué es un DPO y cuáles son sus funciones en la organización, queda quizá contestar a la pregunta más importante ¿cuándo es necesario nombrar a un Delegado de Protección de Datos? Tras la aprobación del RGPD, no quedaba claro cuándo se debía designar a un DPO, se señalaban tres supuestos que eran muy abiertos, como, por ejemplo, el tratamiento a gran escala de categorías especiales de datos personales. Una categoría especial de dato personal es la salud, las clínicas dentales tratan datos especiales, pero ¿lo hacen a gran escala?, ¿qué entendemos por gran escala? ¿podemos entender por gran escala los datos que trata una clínica dental en una localidad en el que no hay más clínicas? (esta clínica podría tratar todos o una gran parte de los datos personales de los habitantes de esa localidad).

Ha sido la nueva Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) aprobada en el pasado mes de diciembre, la que ha arrojado algo de luz sobre este tema, señalando en su artículo 34, cuándo se debe designar a un Delegado de Protección de Datos. En concreto, este artículo en su letra l) indica que deben nombrar a un DPO “los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes” exceptuando de esta obligación a “los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes ejerzan su actividad a título individual”. Además, este artículo obliga a los responsables y encargados de tratamiento a comunicar a la Agencia Española de Protección de Datos el nombramiento del DPO.

Por tanto, la LOPDGDD, ha dejado claro que las clínicas dentales están obligadas a nombrar un Delegado de Protección de Datos, salvo que la clínica esté regentada por un empresario individual. Llegamos entonces a la conclusión de que si la clínica dental está sustentada por una sociedad en cualquiera de sus formas mercantiles (S.L., S.L.P., etc..) tiene la obligación de nombrar a un DPO, no existe alternativa.

¿Puedo nombrar como DPO a personal de mi clínica? La respuesta a esta pregunta viene determinada por las características que debe cumplir un DPO, señaladas al principio de este artículo en el sentido de que un Delegado de Protección de Datos, tiene que contar con conocimientos especializados en Derecho y práctica en la materia. Si la persona de nuestra clínica en la que estamos pensando para desempeñar el papel de DPO no cumple con estas características, mejor no lo hagas ya que la Agencia Española de Protección de Datos puede verificar este extremo y podría incluso sancionarte.

Por último, señalar, que los Delegados de Protección de Datos pueden ser personas físicas o personas jurídicas como, Delyser Abogados S.L.P., con capacidad acreditada para llevar a cabo la función de DPO, tarea que actualmente desarrolla para distintas empresas y organizaciones.

Nuestro despacho puede ayudarte, no dudes en consultarnos.