El RGPD obliga a designar DPO les entitats públiques, els organismes sanitaris i determinades empreses. Contractar un DPO en plantilla costa entre 40.000 i 60.000 euros anuals fixos. Un DPO extern és flexible, certificat i escalable als vostres riscos reals.
Si sou una entitat pública, un organisme sanitari o una empresa amb tractaments a gran escala, la llei us obliga a designar un DPO. Però moltes organitzacions no saben si la designació és obligatòria en el seu cas, com estructurar el rol o com cobrir les responsabilitats sense augmentar els costos de plantilla.
Sense DPO designat quan és obligatori, s’infringeix l’article 37 del RGPD, amb sancions de fins a 10 milions d’euros o el 2% de la facturació anual. Si hi ha una violació de dades, la manca de DPO s’interpreta com a negligència. I els clients i reguladors veuen una organització que no es pren seriosament la protecció de dades.
Inclou base legal, terminis de conservació, mesures de seguretat i estat d’adequació per tractament. Entrega: registre auditable + informe anual del DPO.
Entitats públiques i administracions locals i autonòmiques. Organismes sanitaris i de serveis socials. Empreses amb tractaments complexos o dades sensibles a gran escala. Universitats i instituts de recerca. Consultories i proveïdors TIC que volen oferir compliment RGPD als seus clients.
Per a qui NO és: PIMEs sense tractaments de dades a gran escala ni categories especials. Empreses que ja disposen de DPO intern.
Exercici complet del rol de Delegat de Protecció de Dades segons l’article 37 del RGPD. Registre d’activitats de tractament complet i actualitzat. Realització i revisió d’avaluacions d’impacte (DPIA) per a tractaments nous o d’alt risc. Assessorament continu sobre bases legals, consentiments i deures de transparència. Gestió integral de violacions de dades: documentació, notificació a l’autoritat de control i als afectats en 72 hores, i pla de remediació. Interlocució permanent amb l’AEPD o l’APDCAT segons correspongui. Formació especialitzada per a responsables de tractament i equips operatius. Auditories internes de compliment. El rol l’exerceix un consultor sènior amb certificació DPO (GDPR) activa, no equips júnior.
Registre d’activitats de tractament
Registre d’activitats de tractament documentat i auditable.
Informes DPIA complets amb recomanacions. Informe anual del DPO amb anàlisi de bretxes i pla de remediació.
Protocols de resposta a violacions de dades. Documentació dels assessoraments i decisions del DPO.
Certificats de les formacions realitzades. Informes de compliment per a direcció i reguladors.
Retenció flexible des de 4h/mes fins a 40h/mes segons complexitat. Combinable amb CISO as a Service per a una cobertura integral de seguretat i privadesa amb un sol interlocutor sènior. Podeu augmentar o reduir la dedicació cada mes, sense permanències.
En les primeres 4 setmanes: registre de tractaments complet i DPIA per als tractaments crítics. En 2-3 mesos: primer informe de compliment del DPO. En 6 mesos: documentació sòlida que demostra diligència deguda davant les autoritats, reducció mesurable del risc legal i reputacional, i una relació de confiança amb l’autoritat de control. En cas de violació de dades: resposta coordinada que minimitza la sanció i el dany reputacional.
Són marcs complementaris amb àmbits d'aplicació diferents:
La NIS2 és una directiva europea (ja transposada a Espanya) que obliga a sectors essencials i importants (energia, transport, salut, serveis digitals) a reforçar la ciberseguretat. Si ets proveïdor d'alguna d'aquestes empreses, la NIS2 també t'afecta indirectament.
L'ENS (Esquema Nacional de Seguretat, RD 311/2022) és obligatori per a les administracions públiques espanyoles i tots els seus proveïdors tecnològics. Si treballes amb el sector públic, necessites demostrar conformitat ENS.
La ISO 27001 és una norma internacional voluntària, però de facto obligatòria en molts contractes i licitacions. Disposar-ne millora la posició competitiva i facilita el compliment d'ENS i NIS2.
En la consulta inicial gratuïta t'ajudem a identificar exactament quines normatives t'apliquen i amb quina prioritat.
Depèn de l'abast i la normativa:
ISO 27001 Gap Audit o ENS Compliance Roadmap: 2 a 6 setmanes. NIS2 Gap Audit: 4 setmanes. Adequació completa amb documentació: 3 a 6 mesos. CISO as a Service i DPO as a Service: serveis recurrents amb dedicació mensual flexible.
En tots els casos, definim fites intermèdies i entregables parcials des del primer dia. El client sap en tot moment on estem i què falta.
Sí. Oferim una consulta inicial gratuïta per videoconferència o presencial (Catalunya) on identifiquem les teves necessitats, estimem l'abast del treball i t'orientem sobre prioritats. Aquesta sessió no substitueix un diagnòstic GAP, però et dóna la informació necessària per prendre decisions informades. Pots sol·licitar-la directament des de la pàgina de contacte.
