¿Tu empresa necesita un Delegado de Protección de Datos?

Apenas se empieza a hablar de la nueva ley de datos aparece la sigla: DPO, Delegado de Protección de Datos. Y con ella la pregunta práctica, que casi siempre viene con cara de preocupación: ¿tengo que contratar a alguien más?

La respuesta corta es que probablemente no tengas que contratar a nadie, pero sí necesitas que esto tenga un dueño con nombre y apellido.

La idea en simple

• No todas las organizaciones están obligadas a nombrar un delegado.
• La obligación depende del tipo de tratamiento, su escala y si manejas datos sensibles.
• Aunque no estés obligado, conviene designar a un responsable interno.
• Es un rol, no necesariamente un cargo nuevo ni una persona nueva.

Cuándo es obligatorio

La obligación no se define por el tamaño de la empresa sino por lo que la empresa hace con los datos. Los criterios apuntan a organizaciones que tratan datos personales a gran escala, que manejan datos sensibles de manera habitual o que hacen seguimiento sistemático de personas.

Aterrizado a casos reales en Chile:

• Una clínica, un laboratorio o un prestador de salud trata datos sensibles por definición.
• Un colegio o una universidad maneja datos de menores y situación socioeconómica.
• Una empresa de cobranza, una aseguradora o una fintech trata datos financieros a escala.
• Un retail con un programa de fidelización de cientos de miles de personas hace seguimiento sistemático.

Una constructora con 40 trabajadores y una base de 3.000 contactos comerciales, en cambio, difícilmente califica. Es una zona con matices, y es exactamente la pregunta que conviene resolver con un abogado al inicio del proyecto, no al final. En nuestras adecuaciones esa definición la toma Salinas Whittaker Abogados, que es el estudio con el que trabajamos la parte legal.

Por qué conviene igual tener a alguien

Acá está la parte que importa más que la obligación legal. Aunque no estés obligado, alguien tiene que estar a cargo, porque la ley genera trabajo recurrente que no es de nadie por defecto:

• Recibir y responder las solicitudes de las personas, con plazos.
• Mantener actualizado el registro de tratamientos cuando se suma una herramienta nueva.
• Revisar los contratos con proveedores que tocan datos.
• Reaccionar si hay una filtración, con reloj corriendo.
• Ser la contraparte si la Agencia pregunta algo.

Cuando eso no tiene dueño, no se hace. Y no se hace de la peor manera: todos asumen que alguien más lo está viendo.

Qué perfil sirve

Lo primero que aclarar: no tiene que ser abogado. El delegado necesita entender el negocio, tener acceso a las distintas áreas y capacidad de coordinar. El apoyo jurídico puede ser externo.

En empresas medianas suele funcionar bien que el rol recaiga en quien ya tiene visión transversal: el gerente de operaciones, el encargado de tecnología, a veces el jefe de administración y finanzas. Lo que no funciona es dejarlo en marketing (que es una de las áreas fiscalizadas) ni en un cargo sin autoridad para pedirle cosas al resto.

La ley también exige que el delegado pueda ejercer sin conflicto de interés y que tenga los recursos para hacer su pega. Nombrar a alguien y no darle tiempo ni acceso es peor que no nombrar a nadie: crea un responsable formal sin capacidad real.

Cómo decidir esta semana

Sin gastar un peso todavía, junta a tres personas de tu empresa y respondan:

1. ¿Tratamos datos sensibles de forma habitual?
2. ¿Cuántas personas hay en nuestras bases, sumando todo?
3. ¿Hacemos seguimiento del comportamiento de personas de forma sistemática?
4. Si alguien pide borrar sus datos hoy, ¿quién se hace cargo?

Las primeras tres te dicen si probablemente estás obligado. La cuarta te dice si tienes un problema, y esa tiene la misma respuesta en casi todas las empresas: nadie.

Definir quién responde esa cuarta pregunta es el primer paso, y no cuesta nada. Acá está el resto del camino.