LA FIGURA DEL DELEGADO DE PROTECCIÓN DE DATOS

Con la entrada en vigor en toda Europa del Reglamento General de Protección de Datos (RGPD) en mayo de 2018, todas las Administraciones y muchas empresas tendrán que contratar un delegado de protección de datos.

Esta figura, conocida popularmente como DPO (en inglés, Data Protection Officer), constituye uno de los elementos claves del RGPD, y un garante del cumplimiento de la normativa de la protección de datos en las organizaciones.

¿Cúando resulta obligatorio?

El artículo 37 del RGPD exige que se designe un DPD en tres casos específicos:

a) cuando el tratamiento lo lleva a cabo una autoridad u organismo públicos.

b) cuando las actividades principales del responsable o el encargado del tratamiento consisten en operaciones de tratamiento que requieren el seguimiento regular y sistemático de los interesados a gran escala.

c) cuando las actividades principales del responsable o el encargado del tratamiento consisten en el tratamiento a gran escala de categorías especiales de datos o datos personales relacionados con condenas y delitos penales.

Una vez designado, el artículo 37.7 del RGPD exige que el responsable o el encargado del tratamiento publique los datos de contacto del DPD y comunique los mismos a las autoridades supervisoras correspondientes. El objetivo es garantizar que los interesados (tanto dentro como fuera de la organización) y las autoridades supervisoras puedan ponerse en contacto de forma fácil, directa y confidencial con el DPD sin tener que contactar con otra parte de la organización.

¿Qué requisitos debe cumpir?

Deberá contar con conocimientos especializados en derecho, y, obviamente, en protección de datos.

El DPD podrá ser interno o externo, persona física o jurídica especializada en la materia, pero su actuación debe estar marcada siempre por la independencia a la hora de tomar decisiones.

El RGPD no exige que deba ser un jurista, pero sí que cuente con esa competencia jurídica, a la que se tiene que unir una formación tecnológica para poder entender los procesos de tratamiento de datos.

No existe un título o un certificado obligatorio para el ejercicio de las funciones de delegado en el seno de las empresas, por lo que cualquiera podría desempeñarlas. El certificado no será obligatorio, tal y como ha informado la Agencia Española de Protección de Datos (AEPD), sin embargo, las condiciones del mercado pueden hacerlo imprescindible, debido al incremento de las exigencias en materia de privacidad que supone la nueva normativa que  hará que muchas organizaciones busquen profesionales de valía acreditada.

La capacidad profesional del DPD debe medirse por:

– Conocimientos, ya que debe tener suficiente comprensión de las operaciones de tratamiento llevadas a cabo y los sistemas de información, así como de las necesidades de seguridad y protección de los datos del responsable del tratamiento.

– Cualidades personales, entre las que hay que hay que valorar la integridad y un nivel elevado de ética profesional. La principal preocupación del DPD debe ser hacer posible el cumplimiento del RGPD.

¿Cuáles son sus funciones?

Aparecen recogidas en el art. 39 del RGPD, y son:

– Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben.

– Supervisar el cumplimiento de lo dispuesto en el RGPD y demás normativa de protección de datos personales así como la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.

– Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación.

– Cooperar y actuar como punto de contacto con la autoridad de control.

Una de las tareas que más tendrá que cuidar es la de conseguir que en la empresa u organización que se trate le consideren una figura de apoyo y de ayuda, y no alguien que sólo pone trabas al desarrollo de la organización. Por ello, además de los conocimientos técnicos-jurídicos inherentes a la figura de DPD, es recomendable que también tenga desarrolladas habilidades comunicativas y relacionales, ya que tendrá que conseguir la implicación de empleados y directivos en la implantación de las políticas de privacidad, en aras de conseguir instaurar la responsabilidad proactiva en el tratamiento de datos que persigue la normativa.

Por último, señalar que para que pueda desempeñar sus funciones es fundamental que reciba el apoyo necesario por parte de la dirección del responsable del tratamiento, tal y como se recoge en el art. 38.1 y 2. del RGPD: “El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.” “…facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados.”

 

Esto significa que el responsable del tratamiento tendrá que proporcionarle:

– Recursos económicos, infraestructura y personal necesarios.

– Asegurarse que su función es conocida por todos los miembros de la organización y que recibirá su cooperación.

– Acceso a cualquier recurso o departamento para acceder a la información que necesite.

– Formación continua, para el mantenimiento actualizado de los conocimientos en la materia.

– Autonomía suficiente para que pueda desempeñar su labor con la independencia necesaria.

 

Se trata de una figura de reciente creación de la que oiremos hablar cada vez con más asiduidad en los próximos meses y cuya perfil laboral, de competencias y capacidad, se irá definiendo con el tiempo, aunque ya contamos, como hemos visto, con suficientes elementos que nos permiten vislumbrar el camino de su desarrollo.

 

Miguel  Pérez

Abogado