La pregunta que todo titular se ha hecho
Desde la entrada en vigor del RGPD en 2018, muchas farmacias reciben ofertas de servicios de DPD (Delegado de Protección de Datos) por 40-80€ mensuales. La duda honesta: ¿es obligatorio o es marketing aprovechando el miedo a las multas?
Qué dice la ley
El artículo 37 del RGPD y el artículo 34 de la LOPDGDD establecen cuándo es obligatorio designar DPD:
- Cuando el tratamiento sea realizado por una autoridad u organismo público
- Cuando las actividades principales requieran una observación habitual y sistemática de interesados a gran escala
- Cuando las actividades principales consistan en el tratamiento a gran escala de datos de categoría especial (salud, biometría, origen étnico, etc.)
Los tres criterios prácticos
Criterio 1: ¿Tratas datos de salud a gran escala?
El RGPD no define "gran escala" con un número concreto. La AEPD y el antiguo Grupo del 29 han orientado a considerar factores:
- Número de interesados
- Volumen de datos
- Duración del tratamiento
- Alcance geográfico
Una farmacia comunitaria individual, con su clientela local, no se considera habitualmente "gran escala". Una cadena con 20 farmacias y datos centralizados, sí.
Criterio 2: ¿Haces SPD, cribados u otros servicios asistenciales con datos identificados?
Si gestionas Sistemas Personalizados de Dosificación para residencias o desarrollas servicios de cribado de factores cardiovasculares con registro histórico de resultados, la cuantía y sensibilidad de datos aumenta significativamente. En estos casos, aunque no sea legalmente obligatorio, designar un DPD es recomendable.
Criterio 3: ¿Trabajas con mutuas, aseguradoras o datos compartidos con terceros?
Si tienes acuerdos con mutuas privadas, facturas a aseguradoras o compartes datos en programas de investigación, la complejidad contractual justifica DPD designado.
Lo que SÍ es obligatorio aunque no tengas DPD
No confundir: no necesitar DPD no significa no tener que cumplir el RGPD. Toda farmacia, sin excepción, debe mantener:
- Registro de Actividades de Tratamiento (RAT) — artículo 30 del RGPD
- Política de privacidad accesible para pacientes
- Contratos de encargado de tratamiento con proveedores tecnológicos (software de gestión, nube, etc.)
- Medidas técnicas de seguridad (copias de seguridad, control de accesos, cifrado)
- Análisis de riesgos y, si procede, Evaluación de Impacto
- Registro de brechas de seguridad
- Plan de formación del personal en protección de datos
DPD interno, externo o ninguno
Si decides designar DPD, las opciones son:
- Interno: un empleado formado. Coste cero directo pero consume horas y exige formación continuada
- Externo: asesoría especializada. 40-120€/mes según complejidad
- Compartido entre varias farmacias asociadas
Para la farmacia comunitaria media, el DPD no es obligatorio. El cumplimiento del RGPD, sí.
La pregunta correcta no es "¿contrato un DPD?" sino "¿estoy cumpliendo el RGPD?". Responde a la segunda antes de responder a la primera.
