Source: https://rafaeljimenezasensio.com/2019/01/09/el-delegado-de-proteccion-de-datos-sector-publico-en-la-ley-organica-3-2018/?share=google-plus-1
Timestamp: 2019-05-24 03:54:40+00:00

Document:
EL DELEGADO DE PROTECCIÓN DE DATOS (SECTOR PÚBLICO) EN LA LEY ORGÁNICA 3/2018 | LA MIRADA INSTITUCIONAL
La figura del DPD está delineada en sus rasgos centrales por el RGPD, no teniendo la Ley Orgánica excesivo margen de configuración o de innovación sobre cuál es su perfil o su sentido, pero aún así la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) ha establecido una serie de reglas de carácter complementario que terminan por dibujar más cerradamente la naturaleza de esa figura y le dotan de un carácter singular, sobre todo (aunque no solo) por el papel que cumple el DPD como “filtro de resolución amistosa” en materia de reclamaciones ante la autoridad de control respectiva en materia de protección de datos de carácter personal y, particularmente, por lo que afecta a las diferentes (y enriquecidas) dimensiones de derechos encuadrados dentro de ese “derecho racimo” a la protección de datos personales y recogidos en el binomio RGPD/LOPDGDD.
El Preámbulo de la LOPDGDD incorpora una serie de motivaciones a raíz de las cuales se justifican algunas de las novedades que se incorporan en el citado texto normativo en relación con la regulación ya establecida en el RGPD. Para tener una idea cabal del alcance de esa regulación recogida en la LOPDGDD, puede ser oportuno reflejar el contenido de algunos fragmentos de ese preámbulo. Veamos:
“La figura del delegado de protección de datos adquiere una destacada importancia en el Reglamento (UE) 2016/679 y así lo recoge la ley orgánica, que parte del principio de que puede tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una persona física como una persona jurídica. La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente. La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona. Los conocimientos en la materia se podrán acreditar mediante esquemas de certificación. Asimismo, no podrá ser removido, salvo en los supuestos de dolo o negligencia grave. Es de destacar que el delegado de protección de datos permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento.”
Por tanto, la regulación de la figura del DPD en la LOPDGDD reitera algunas de las características recogidas en el RGPD (artículos 37 a 39), pero con algunas exigencias adicionales. Veamos cuáles son sus rasgos más relevantes según la regulación que lleva a cabo la citada Ley Orgánica 3/2018:
La obligación de designar un DPD por parte de las Administraciones Públicas y en las entidades de su sector público se deriva del propio RGPD. La referencia del RGPD a “autoridades y organismos públicos” reenvía en su concreción al Derecho de los Estados miembros, pero la LOPDGDD no es muy precisa en ese acotamiento (con la salvedad del artículo 77), al menos en lo que a la obligación de disponer de un DPD comporta. No se establece, por tanto, ninguna especificidad al respecto, ni tampoco la Ley Orgánica nos ayuda a identificar en qué entidades del sector público es preceptivo el nombramiento del DPD (si es en todas o solo en parte). El problema se plantea exclusivamente con las sociedades mercantiles dependientes de una Administración Pública (excluidas del régimen excepcional en materia sancionadora por el artículo 77 y no incluidas expresamente, salvo que se encuadren en un sector, en el artículo 34 LOPDGDD). Una interpretación sistemática del artículo 77 con lo establecido en la disposición adicional primera (que sí aplica a las sociedades mercantiles “las medidas de seguridad en el sector público”, conduciría a considerar que es recomendable dotarse de un DPD también en las sociedades mercantiles vinculadas o dependientes de las Administraciones Públicas.
Una vez designado, se establece la obligación de comunicación a la autoridad de control en el plazo de diez días el nombramiento y, en su caso, del cese del DPD (artículo 34.3)
Se prevé, al igual que el RGPD, la dedicación a tiempo completo o parcial del DPD, en función del tipo de datos que se traten por cada organización (artículo 34.5)
El DPD tiene acceso a los datos personales y procesos de tratamiento, no pudiendo el responsable o encargado oponerse a este acceso invocando confidencialidad o secreto
La “obtención de titulación universitaria” (la imprecisión de la norma es notable, pero parece referirse a postgrados o, en su caso, masteres y no propiamente a grados universitarios) se tendrá especialmente en cuenta para demostrar a través de mecanismos de certificación el cumplimiento de los requisitos del artículo 37.5 RGPD
Se prevé, también en línea con el RGPD, la garantía, siempre que se trate de persona física, de no remoción (salvo supuestos de dolo o negligencia grave) y de independencia, evitando cualquier conflicto de intereses del DPD (Art. 36.2), lo que puede poner en duda algunos nombramientos en función del tipo de tareas que se desarrollen (dedicación parcial). Dicho de otra manera, la exigencia de que no haya conflictos de intereses (que aparecía reflejada en las Directrices sobre los delegados de protección de datos del Grupo del Artículo 29) se trasladan a la LOPDGDD como garantía de independencia y objetividad en el funcionamiento de tal figura, lo que desaconseja que se atribuya esa condición a puestos de trabajo que puedan tener tareas de informe jurídico o técnico relacionadas directa o indirectamente con la protección de datos personales, sobre todo en aquellos casos en los que la dedicación a tales funciones es parcial. Lo dicho anteriormente, tal vez desaconseje que en el ámbito local de gobierno tales funciones de DPD se sitúen en el ámbito de la Secretaría o de la Secretaría-Intervención, por los hipotéticos conflictos de intereses que se pudieran producir. Según hemos visto, la figura del DPD tampoco puede coincidir con la de responsable de seguridad.
El DPD tiene la facultad de inspeccionar los procedimientos relacionados con el objeto de la Ley y emitir recomendaciones (artículo 36)
El DPD tiene, asimismo, la facultad de documentar y comunicar a los órganos competentes la existencia de una vulneración relevante en materia de protección de datos.
Y debe destacarse, como gran novedad de la LOPDGDD en lo que a perfil funcional de la figura respecta, el régimen de intervención del DPD en los supuestos de reclamaciones ante las autoridades de control (artículo 37), donde se admite que el afectado pueda presentar una reclamación ante el DPD con carácter previo a la presentación de la reclamación ante la autoridad de control, incorporando una suerte de recurso potestativo de carácter administrativo que deberá resolver el órgano competente, pues difícilmente esa resolución la podrá emitir en DPD, menos aún si es una figura externalizada, pues se trataría del ejercicio de funciones de autoridad, aunque estos aspectos tampoco se tratan en la LOPDGDD (pues la normativa es de aplicación general tanto para el sector público como para el privado).
Se refuerza así el papel del DPD como “punto de contacto” entre la ciudadanía (afectados) y la Administración Pública (responsable o encargado) que ha llevado a cabo el correspondiente tratamiento. También se prevé que la propia autoridad de control, una vez recibida una reclamación, dé traslado al DPD a efectos de que por parte de este se responda en el plazo de un mes a la citada reclamación. Si no hubiera DPD, la autoridad de control podrá dirigirse al responsable o encargado del tratamiento (artículo 65.3 LOPDGDD).
Aparte de esas referencias normativas recogidas en el Capítulo III del Título V de la LOPDGDD, que determina el régimen complementario a la regulación del RGPD por lo que afecta al DPD (así como lo establecido en el artículo 65.3 LOPDGDD ya citado), deben tenerse en cuenta otra serie de exigencias adicionales que en torno a esta figura se establecen en otros pasajes de ese nuevo marco normativo establecido en la LOPDGDD y que impactan sobre aspectos puntuales del tratamiento de datos personales y, en particular, sobre la figura del DPD. A saber:
El artículo 31.1, párrafo tercero, prevé expresamente lo siguiente: “Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro (se refiere al Registro de Actividades de Tratamiento).
El artículo 70.2 prevé lo siguiente: No será de aplicación al delegado de protección de datos el régimen sancionador establecido en el Título IX de la LOPDGDD.
Por su parte, en materia de régimen sancionador, se establecen las siguientes infracciones y una previsión en materia de graduación de sanciones que no resulta, en principio, de aplicación al sector público (salvo que a las empresas públicas no se entienda que es exigible el nombramiento de DPD):
Tendrá la consideración de infracción grave, según el artículo 73 v): “El incumplimiento de la obligación de designar un delegado de protección de datos cuando sea exigible su nombramiento de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 34 de esta ley orgánica”.
Asimismo, también tendrá la consideración de infracción grave, según el artículo 73 w) LOPDGDD: “No posibilitar la efectiva participación del delegado de protección de datos en todas las cuestiones relativas a la protección de datos personales, no respaldarlo o interferir en el desempeño de sus funciones”.
Tendrá la consideración de infracción leve, según se prevé en el artículo 74 p) LOPDGDD: “No publicar los datos de contacto del delegado de protección de datos, o no comunicarlos a la autoridad de protección de datos, cuando su nombramiento sea exigible de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 34 de esta ley orgánica.”
Y, en fin, el artículo 76.2, en lo que afecta a la graduación de sanciones, establece que se tendrá en cuenta disponer, cuando no fuera obligatorio, de la figura del delegado de protección de datos.
En todos estos supuestos, como es ya conocido, se debe resaltar que el régimen sancionador aplicable a las Administraciones Públicas y a la mayor parte de las entidades del sector público (salvo las empresas públicas) es un sistema blando o mucho más benevolente que el que se aplica a los responsables y encargados del tratamiento del sector privado, tal como prevé el artículo 77 LOPDGDD (sanciones de apercibimiento y, en determinadas circunstancias, publicidad de las sanciones).
La disposición adicional decimosexta (“prácticas agresivas en materia de protección de datos”) recoge que, a efectos de la Ley 3/1991, de competencia desleal, se considerará práctica agresiva en materia de protección de datos, el ejercicio de las funciones de delegado de protección de datos sin designación expresa del responsable o encargado del tratamiento o comunicarse en tal condición con las autoridades de control (sin haber nombramiento efectivo).
Y, en fin, la disposición adicional decimoséptima, relativa a los tratamientos de salud, establece dos previsiones en relación con la figura del DPD. A saber:
Por un lado, la letra g) prevé que el uso de datos personales seudonimizados con fines de investigación en salud pública (y, en particular, biomédica), deberá ser sometido a informe previo del comité de ética de la investigación que se prevea en la normativa sectorial. Si no existiera Comité de Ética, la entidad responsable de la investigación requerirá informe previo del delegado de protección de datos o, en su defecto, de un experto con conocimientos en los ámbitos establecidos en el artículo 37.5 RGPD.
Por otro, una vez constituidos los Comités de Ética de la investigación, y siempre que se ocupen de actividades de investigación que comporten el tratamiento de datos personales o de datos seudonimizados o anonimizados, deberán integrar en su seno a un delegado de protección de datos o, en su defecto, a un experto con conocimientos en los ámbitos establecidos en el artículo 37.5 RGPD.
Una vez expuestas esas novedades, conviene llamar la atención sobre la necesidad objetiva (aparte de la obligación inexcusable, cuyo incumplimiento es motivo de infracción) que tienen las Administraciones Públicas de dotarse de esa figura de Delegado de Protección de Datos como apoyo imprescindible al responsable o encargado del tratamiento para la necesaria adaptación de su sistema de gestión de protección de datos personales a las innumerables innovaciones que el RGPD insertó en su día en esta materia y que la LOPDGDD ha desarrollado puntualmente en algunos casos. La correcta aplicación del RGPD y la garantía de los derechos de los ciudadanos dependen en gran medida de la configuración correcta de esta figura. En todo caso, es preciso tener en cuenta el carácter vicarial de la LOPDGDD en relación con el RGPD, que también se refleja en este supuesto, pues la regulación sustantiva de esa figura se encuentra en los artículos 37 a 39 (así como en otras muchas referencias indirectas en el resto del articulado) del RGPD, normas que deben leerse de conformidad con lo establecido en el Considerando 97 del reiterado Reglamento europeo.
Posted in DIGITALIZACION, INICIO, PROTECCION DE DATOS, SECTOR PUBLICO on 9 enero, 2019 by rafaeljimenezasensio. 1 comentario
← LA DEMOCRACIA ASEDIADA (*)
“ZANAHORIA SIN PALO” (*) (Régimen de sanciones en la nueva Ley de Protección de Datos: su aplicación al Sector Público) →
10 enero, 2019 en 11:32
Archivos Elegir mes mayo 2019 (4) abril 2019 (3) marzo 2019 (5) febrero 2019 (4) enero 2019 (6) diciembre 2018 (3) noviembre 2018 (4) octubre 2018 (3) septiembre 2018 (4) agosto 2018 (2) julio 2018 (3) junio 2018 (3) mayo 2018 (4) abril 2018 (4) marzo 2018 (4) febrero 2018 (4) enero 2018 (9) diciembre 2017 (1) noviembre 2017 (4) octubre 2017 (4) septiembre 2017 (3) agosto 2017 (2) julio 2017 (2) junio 2017 (4) mayo 2017 (4) abril 2017 (3) marzo 2017 (3) febrero 2017 (2) enero 2017 (2) diciembre 2016 (1) noviembre 2016 (2) octubre 2016 (4) septiembre 2016 (1) agosto 2016 (1) julio 2016 (3) junio 2016 (5) mayo 2016 (2) abril 2016 (3) marzo 2016 (6) febrero 2016 (5) enero 2016 (3) diciembre 2015 (4) noviembre 2015 (3) octubre 2015 (2) septiembre 2015 (5) agosto 2015 (1) julio 2015 (4) junio 2015 (2) mayo 2015 (1) abril 2015 (3) marzo 2015 (2) febrero 2015 (3) enero 2015 (5)
Categorías Elegir categoría ACCESO EMPLEO PUBLICO ADMINISTRACION PUBLICA ALTA DIRECCIÓN PÚBLICA ALTOS CARGOS ASESORES AYUNTAMIENTOS BLOG BUEN GOBIERNO BUENA GOBERNANZA-GOBERNANZA INTELIGENTE CÓDIGOS DE CONDUCTA COMPETENCIAS MUNICIPALES COMUNIDADES AUTONOMAS CONVENIOS ADMINISTRATIVOS CORRUPCIÓN DEMOCRACIA DEMOCRACIA PARTICIPATIVA DERECHOS DIGITALES DIGITALIZACION DIRECTIVOS PROFESIONALES ECOLOGIA EDUCACION ELECCIONES EMPLEO PÚBLICO LOCAL ESTADOS EXCEPCIONALES ETICA PUBLICA FORMACIÓN FUENTES DEL DERECHO FUNCIÓN PÚBLICA GOBIERNOS LOCALES HACIENDA PÚBLICA INICIO INSTITUCIONES INTEGRIDAD INSTITUCIONAL LECTURA LEGISLACIÓN LERSAL LIBROS MEDIO AMBIENTE MEDIOS DE COMUNICACIÓN MODERNIZACION ORGANIZACION PARLAMENTO PARTIDOS POLÍTICOS PODER JUDICIAL política POLITICA POLITICA FISCAL POTESTAD NORMATIVA PRESUPUESTOS PROCEDIMIENTO ADMINISTRATIVO PROTECCION DE DATOS REFORMA DE LA ADMINISTRACION Reforma local REGIMEN JURIDICO REMUNERACIONES REMUNICIPALIZACION REVOLUCION TECNOLOGICA SECTOR PÚBLICO INSTITUCIONAL SECTOR PUBLICO separación de poderes SISTEMAS CONSTITUCIONALES TRANSFORMACION DE LA ADMINISTRACION TRANSPARENCIA UNIVERSIDAD
RETOS DEL GOBIERNO MUNICIPAL: 2019-2023 (I)
PARTIDOS E INSTITUCIONES (A propósito del libro de José Antonio Gómez Yáñez y Joan Navarro, Desprivatizar los partidos, Gedisa, 2019, 134 pp.)
COALICIONES DE GOBIERNO Y ALTA ADMINISTRACIÓN

References: resolución 
 resolución 
 artículo 77
 artículo 77
 artículo 34
 artículo 77
 artículo 37
 Artículo 29
 resolución 
 artículo 65
 artículo 31
 artículo 70
 artículo 73
 artículo 37
 artículo 34
 artículo 73
 artículo 74
 artículo 37
 artículo 34
 artículo 76
 artículo 77
 artículo 37
 artículo 37