¿Tu empresa necesita un Delegado de Protección de Datos?

Apenas se empieza a hablar de la nueva ley de datos aparece la sigla: DPO, Delegado de Protección de Datos. Y con ella la pregunta práctica, que casi siempre viene con cara de preocupación: ¿tengo que contratar a alguien más?

La respuesta corta es que probablemente no tengas que contratar a nadie, pero sí necesitas que esto tenga un dueño con nombre y apellido.

La idea en simple

• La Ley 21.719 no obliga a nombrar un delegado: dice que la empresa «podrá designar» uno.
• Si lo designas, lo nombra la máxima autoridad y debe tener autonomía. En micro, pequeñas y medianas empresas, el dueño puede asumir el rol.
• Aunque sea voluntario, alguien tiene que estar a cargo del trabajo que la ley genera.
• Es un rol, no necesariamente un cargo nuevo ni una persona nueva.

¿Es obligatorio?

No. El artículo 50 de la Ley 21.719 dice que el responsable de datos «podrá designar» un delegado de protección de datos: es una decisión de la empresa, no una obligación. Ahí está una diferencia con el reglamento europeo, que sí lo exige en ciertos casos, y de ahí viene buena parte de la confusión.

Si decides designarlo, la ley pone condiciones. Lo nombra la máxima autoridad (el directorio, un socio administrador o la gerencia general), debe tener autonomía en estas materias y puede tener otras funciones mientras no haya conflicto de interés. En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente el rol, y las empresas de un mismo grupo pueden compartir un solo delegado.

Donde más pesa tener a alguien dedicado es en organizaciones que tratan datos sensibles de forma habitual, datos financieros a gran escala o que hacen seguimiento sistemático de personas:

• Una clínica, un laboratorio o un prestador de salud trata datos sensibles por definición.
• Un colegio o una universidad maneja datos de menores y situación socioeconómica.
• Una empresa de cobranza, una aseguradora o una fintech trata datos financieros a escala.
• Un retail con un programa de fidelización de cientos de miles de personas hace seguimiento sistemático.

Una constructora con 40 trabajadores y una base de 3.000 contactos comerciales, en cambio, puede resolverlo con un responsable interno que dedica parte de su tiempo. Cuánta dedicación necesitas es una pregunta que conviene resolver con un abogado al inicio del proyecto, no al final.

Por qué conviene igual tener a alguien

Acá está la parte que importa más que la obligación legal. Aunque no estés obligado, alguien tiene que estar a cargo, porque la ley genera trabajo recurrente que no es de nadie por defecto:

• Recibir y responder las solicitudes de las personas, con plazos.
• Mantener actualizado el registro de tratamientos cuando se suma una herramienta nueva.
• Revisar los contratos con proveedores que tocan datos.
• Reaccionar si hay una filtración, con reloj corriendo.
• Ser la contraparte si la Agencia pregunta algo.

Cuando eso no tiene dueño, no se hace. Y no se hace de la peor manera: todos asumen que alguien más lo está viendo.

Qué perfil sirve

Lo primero que aclarar: no tiene que ser abogado. El delegado necesita entender el negocio, tener acceso a las distintas áreas y capacidad de coordinar. El apoyo jurídico puede ser externo.

En empresas medianas suele funcionar bien que el rol recaiga en quien ya tiene visión transversal: el gerente de operaciones, el encargado de tecnología, a veces el jefe de administración y finanzas. Lo que no funciona es dejarlo en marketing (que es una de las áreas fiscalizadas) ni en un cargo sin autoridad para pedirle cosas al resto.

La ley también exige que el delegado pueda ejercer sin conflicto de interés y que tenga los recursos para hacer su pega. Nombrar a alguien y no darle tiempo ni acceso es peor que no nombrar a nadie: crea un responsable formal sin capacidad real.

Cómo decidir esta semana

Sin gastar un peso todavía, junta a tres personas de tu empresa y respondan:

1. ¿Tratamos datos sensibles de forma habitual?
2. ¿Cuántas personas hay en nuestras bases, sumando todo?
3. ¿Hacemos seguimiento del comportamiento de personas de forma sistemática?
4. Si alguien pide borrar sus datos hoy, ¿quién se hace cargo?

Las primeras tres te dicen si te conviene un delegado con dedicación propia. La cuarta te dice si tienes un problema, y esa tiene la misma respuesta en casi todas las empresas: nadie.

El panorama completo —plazos, multas y a quién le aplica— está en la guía de la Ley 21.719.

Definir quién responde esa cuarta pregunta es el primer paso, y no cuesta nada. Acá está el resto del camino.