1070 - ¿Cuál es el procedimiento para designar un Delegado de Protección de Datos en un despacho de abogados o procuradores?

Una vez se concluya si debe designarse el DPD, ya sea por mandato legal o por voluntad propia del despacho, debe comunicarse por el responsable o encargado del tratamiento a la AEPD o autoridades autonómicas competentes (APDCAT en Cataluña, AVPD en el País Vasco o CTPD en Andalucía) la designación en un plazo de diez días.

Así mismo, el plazo de 10 días será el aplicable para las comunicaciones de cese del DPD, como recoge el artículo 34, apartado 3, de la LOPDGDD.

Debemos recordar que la designación voluntaria de un DPD viene a ser una muestra de proactividad por parte del responsable del tratamiento, hecho que se valorará a la hora de graduar la sanción ante una posible infracción, como recoge el artículo 76, apartado 2, g) de la LOPDGDD.

En ese sentido, se debe mencionar respecto al posible régimen sancionador en la designación del DPD que:

• Se considera infracción grave, con prescripción a los dos años, el incumplimiento de la obligación de designar un DPD [art. 73 v) de la LOPDGDD].
• Se considera infracción grave, con prescripción a los dos años, no posibilitar la efectiva participación del DPD en las cuestiones relativas a la protección de datos personales, no respaldarlo o interferir en el desempeño de sus funciones [art. 73 w) de la LOPDGDD].
• Se considera infracción leve, con prescripción de un año, no publicar los datos de contacto del DPD o no comunicarlos a la AEPD o autoridad competente cuando fuera un nombramiento fuera obligatorio [art. 74 p) de la LOPDGDD].

CUESTIONES

1. ¿A qué sanciones puede enfrentarse el responsable del tratamiento ante el incumplimiento de sus obligaciones en materia de designación de DPD?

El artículo 83, apartado 4, a) del RGPD considera que las infracciones de las disposiciones relativas a las obligaciones del responsable y del encargado que le sean atribuibles conforme a los artículos, entre otros, 37 a 39 del RGPD que regulan las normas relativas al DPD, se sancionan —teniendo en cuenta determinados factores para graduar la cuantía (art. 83, apartado 2, del RGPD) y como puede ser también la designación voluntaria como conducta proactiva— con multas administrativas de 10.000.000 euros, como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 por ciento como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. 

2. ¿Qué plazos de prescripción se aplican en estas sanciones?

El artículo 78 de la LOPDGDD indica que el plazo de prescripción computará desde el día siguiente a aquel en que sea ejecutable la resolución que impone la sanción o transcurriera el plazo para recurrirla y que la regla será: 

• Las sanciones por importe igual o inferior a 40.000 euros prescriben en el plazo de un año.
• Las sanciones por importe comprendido entre 40.001 y 300.000 euros prescriben a los dos años.
• Las sanciones por un importe superior a 300.000 euros prescriben a los tres años.

3. ¿Puede interrumpirse el plazo de prescripción de las sanciones?

Sí, y eso ocurrirá cuando, con conocimiento del interesado, se inicie el procedimiento de ejecución, volviendo a transcurrir el plazo si tal proceso se paraliza durante más de 6 meses por causa no imputable al infractor (art. 78.3 de la LOPDGDD).