Source: https://protecciondatos-lopd.com/empresas/funciones-delegado-proteccion-datos/
Timestamp: 2020-04-09 16:56:04+00:00

Document:
Estás aquí: Inicio / DPO / Funciones del Delegado de Protección de Datos (DPO)
Hoy queremos hablaros sobre la principal novedad que se ha producido con la aplicación del RGPD tras su entrada en vigor en Mayo de 2018, incluyendo la figura del Delegado de Protección de Datos, más conocido con la siglas DPD (en españa) o DPO a nivel europeo.
El reglamento europeo lo introduce de una forma un tanto genérica y por ello existe una gran confusión alrededor de esta nueva figura, la cual, está siendo mitigada sólo en parte con las especificaciones añadidas por la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
¿Tienes un negocio y estás dudando sobre si tienes obligación de contratar los servicios de DPO?
No te preocupes, en las siguientes palabras solventaremos todas tus dudas sobre el DPO.
Experiencia práctica en protección de datos
Capacidad para ejecutar sus funciones mínimas
¿Qué se considera tratamiento de datos a gran escala?
¿Quién debe nombrar al DPO?
¿Tiene una responsabilidad personal el DPO?
¿Es necesario que estas entidades realicen un curso sobre DPO?
¿Que posición debe tener el DPO en mi empresa?
El representante legal de una entidad, ¿puede ser nombrado DPO de la misma?
¿Siempre se deben cumplir los requisitos para ser nombrado DPO?
DPO como órgano colegiado
¿Dónde puedo contratar un Delegado de Protección de Datos?
En abril de 2016, el Parlamento Europeo aprobó un Reglamento sobre Protección de Datos (RGPD) que sustituye a la anterior Directiva de 1995 y armoniza la normativa para toda la Unión Europea.
Un Reglamento, al contrario que una Directiva, es de aplicación directa en los Estados miembros y no necesita otras leyes nacionales que lo desarrollen.
El RGPD entrará en vigor en mayo de 2018 e implica nuevas obligaciones en materia de protección de datos tanto para las empresas como para las Administraciones Públicas.
En el contexto español, conlleva la actualización de la normativa nacional, por lo que se está elaborando una nueva LOPD para dar cabida a los nuevos conceptos.
Una de las principales novedades que implica el Reglamento es la creación de la figura del Delegado de Protección de Datos (Data Protection Officer).
El DPO, es en gran medida, la persona encargada informar a la entidad responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos.
También por tanto deberá velar o supervisar el cumplimiento normativo así como de cooperar con la autoridad de control y actuar como punto de contacto entre ésta y la entidad responsable del tratamiento de datos.
Por lo tanto esta claro que la nueva normativa convierte al DPO en una figura muy importante para la empresa.
En consecuencia, para el buen desarrollo de sus funciones (de las cuales hablaremos en el siguiente apartado) se le deberá dotar de los recursos necesarios para llevar a cabo su trabajo con plenas garantías y la suficiente estabilidad.
Se debe destacar también que los datos de contacto deben ser públicos, para que interesados y supervisores puedan contactar con él de manera directa y confidencial.
Las Funciones del Delegado de Protección de Datos están expresamente reguladas en el artículo 39 del RGPD, el cual, establece sus obligaciones mínimas:
Informar y asesorar al responsable o al encargado del tratamiento y a los empleados de las obligaciones que les incumben en todo lo relacionado con la implantación de políticas de Protección de Datos
Comprobar el cumplimiento del RGPD, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes
Ofrecer el asesoramiento relativo a las evaluaciones de impacto y la supervisión del cumplimiento normativo de su aplicación interna
Debe informar y asesorar al responsable o al encargado del tratamiento de las obligaciones normativas en protección de datos que les incumban.
Tiene que asesorar tanto al responsable como al encargado acerca de la evaluación de impacto que realice relativa a la protección de datos.
Asesorar a los empleados durante el tratamiento de datos.
Supervisar el adecuado cumplimiento de las normas sobre protección de datos en la entidad.
Revisar las políticas internas de privacidad en la organización y su adecuación normativa.
Asignar responsabilidades entre los miembros de la organización, respecto a las obligaciones en materia de protección de datos.
Realización de acciones de concienciación internas respecto al cumplimiento efectivo de la normativa.
Formar al personal que participa en las operaciones de tratamiento de datos.
Supervisar las evaluaciones de impacto en la protección de datos.
Control, coordinación y verificación de las medidas de seguridad aplicables.
Cooperar con las Agencias Autonómicas y con la Agencia Española de Protección de Datos
Atender las consultas que los interesados realicen a la entidad, ya sea para cuestiones relativas al tratamiento de sus datos o para el ejercicio de sus derechos.
Actuar como enlace con la autoridad de control para cuestiones relativas al tratamiento y la realización de consultas.
Actuar como punto de contacto con la Agencia Española de Protección de Datos para las cuestiones relacionadas con el tratamiento de datos personales, incluyendo la consulta previa.
Tanto el propio Reglamento Europeo, como la Ley de Protección de Datos (en su artículo 34), definen los supuestos en los que tenemos la obligación de designar un DPD, ya sea un empleado de nuestra empresa, o bien contratando dichos servicios a alguna entidad externa, a través de un contrato de servicios.
Una empresa está obligada a disponer de un Delegado de Protección de Datos cuando:
El tratamiento lo lleve a cabo una autoridad pública, excepto los tribunales que actúen en ejercicio de su función judicial
Las actividades principales del responsable o del encargado consistan en operaciones que requieran una observación habitual y sistemática de interesados a gran escala, o
Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos, es decir:
Opiniones políticas, convicciones religiosas o filosóficas
El tratamiento de datos genéticos o datos biométricos dirigidos a identificar a una persona física
Datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física
Condenas e infracciones penales o medidas de seguridad conexas
Para los grupos empresariales, se permite de forma expresa nombrar a un único Delegado de Protección de Datos para todas sus entidades integrantes, siempre que resulte viable el ejercicio de su función en todas ellas.
Lo mismo sucede cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se permite nombrar a uno solo para varios organismos dependientes, teniendo siempre en cuenta su estructura organizativa y tamaño.
Como ya mencionamos anteriormente, el delegado de protección de datos podrá ser un empleado asalariado del responsable o del encargado del tratamiento, o bien, desempeñar sus funciones a través de un contrato mercantil de servicios.
Es importante tener en cuenta que el RGPD, impone la obligación de que los datos de contacto del delegado de protección de datos sean comunicados a la autoridad de control (Agencia Española de Protección de datos o sus homónimas autonómicas), de tal forma, que éste será identificado por la Agencia y actuará como interlocutor entre la AEPD y el responsable o encargado del tratamiento.
Asimismo el Proyecto de Ley Orgánica de Protección de Datos, en su artículo 34, enumera una serie de entidades en las que será obligatoria la designación de un DPO:
Por su parte, y dado que el RGPD había sido quizás demasiado genérico, la LOPD-GDD ha concretado caso por caso, quienes deberán nombrar un DPD de forma obligatoria:
Los colegios profesionales y sus consejos generales. Son asociaciones de carácter profesional o gremial integrada por quienes ejercen una profesión liberal y que suelen estar amparados por el Estado.
Las entidades que exploten redes y presten servicios de comunicaciones electrónicas. Aquí se incluyen las compañías telefónicas y los proveedores de acceso a Internet, siempre y cuando traten perfiles a gran escala.
Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio
Las entidades de ordenación, supervisión y solvencia de entidades de crédito. Estamos hablando de entidades de crédito como los bancos, las cajas de ahorros, las cooperativas de crédito y el Instituto de Crédito Oficial.
Las entidades aseguradoras y reaseguradoras
Las empresas de servicios de inversión. Son las que ofrecen servicios de inversión bursátiles y de fondos de ahorro.
Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural
Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude
Las entidades que desarrollen actividades de publicidad y prospección comercial. Se incluyen aquellas empresas que se dediquen al marketing elaborando perfiles del consumidor.
Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes; excepto los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas física
Los operadores que desarrollen la actividad de juego a través de canales telemáticos o interactivos. En este caso incluimos a las entidades que ofrecen apuestas deportivas online, así como también juegos de casino.
Las empresas de seguridad privada. Quienes desempeñen las actividades reguladas por el Título II de la Ley 5/2014, de 4 de abril, de Seguridad Privada. Se incluyen en este caso empresas que proporcionan seguridad privada así como también los despachos de detectives privados.
Distribuidores y comercializadores de electricidad. En este caso no solo comprendemos a las compañías eléctricas, sino también a las entidades que venden al público esa electricidad.
Como es lógico, no podemos designar a cualquier persona sin tener en cuenta su formación y su experiencia profesional.
En este sentido tanto el RGPD en el artículo 37, en sus puntos 5 y 6, como la Ley Española de Protección de Datos, establecen los requisitos que una persona debe cumplir para poder ser nombrado DPO de una empresa.
Por lo tanto para esa designación se deberán tener en cuenta sus cualidades profesionales y, concretamente, de sus conocimientos en materia de Derecho y protección de datos.
Ser jurista sería recomendable, no obstante no es obligatorio.
El artículo 37.5 del RGPD dispone que el delegado de protección de datos será designado atendiendo a:
La experiencia práctica en materia de protección de datos
Su capacidad para desempeñar las funciones mínimas a las que hacíamos referencia en el primer apartado de este artículo.
A su vez la LOPD-GDD española, añade que esos requisitos podrán demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación, que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho.
A continuación vamos a deternos de forma específica en cada de esos requerimientos.
La autoridad de control española, siguiendo el ejemplo de sus homólogas europeas, ha promovido un modelo de certificación de Delegado de Protección de Datos para que los interesados en ejercer dicha posición puedan acreditarse.
La AEPD y la ENAC son las principales impulsoras de este esquema de certificación.
No obstante hay que destacar que esta certificación no será obligatoria, si bien este sistema de certificación ofrece una seguridad y fiabilidad para las empresas en cuanto a que todos aquellos que superen este esquema de certificación contarán con los conocimientos y aptitudes necesarias para poder desempeñar su labor como DPO.
A raíz de la referencia expresa a una titulación universitaria que hace la LOPD-GDD, puede entenderse que el DPO en primer lugar deberá ser licenciado/graduado en Derecho.
No obstante, por la propia materia objeto de trabajo, también resulta muy importante que el DPO tenga un perfil de carácter técnico, habida cuenta que con las nuevas tecnologías, cualquier implantación de políticas de protección de datos, va a requerir de medio telemáticos que permitan desarrollarla, y por ello, está persona deberá colaborar de forma estrecha con quién preste el servicio técnico de página web, programas de gestión etc dentro de esa entidad.
Resulta evidente que al margen de un titulación académica, es necesario llevar esos conocimientos que se han adquirido a la vida real.
Es por esto, que la normativa aplicable nos requiere unos conocimientos de índole práctica que nos habiliten para ser nombrados como DPO, que a fin de cuentas será el asesor principal en materia de protección de datos de esa entidad.
Esa capacidad en todo caso se refiere no sólo a su formación y aptitudes profesionales, sino también a su posición dentro de la estructura organizativa de la entidad.
Entre esas cualidades deberían estar presentes al menos:
Conocimiento sobre el sector empresarial y organización corporativa interna
Buena capacidad comunicativa, habilidad negociadora y trabajo en equipo
Independencia para trabajar sin supervisión continua.
Buena pregunta. El RGPD no define expresamente qué se entiende por tratamiento a gran escala ni dispone una cifra concreta.
Sin embargo, el Grupo de trabajo del artículo 29, nos da algunas pistas señalando qué factores debemos tener en cuenta:
El número de interesados afectados
El volumen de datos que son objeto de tratamiento
La duración de esos tratamientos
La extensión geográfica de tales tratamientos
Deberá designarlo tanto el responsable como el encargado del tratamiento de los datos, cuando ambas empresas se encuentren dentro de los supuestos obligatorios.
En caso contrario, únicamente deberá nombrarlo aquél que esté obligado legalmente, siendo no obstante recomendable para el resto de empresas que no tengan dicha obligación.
La respuesta es no. El RGPD establece de forma clara que es el responsable o encargado del tratamiento y no el Delegado quien tiene la obligación de aplicar las medidas de carácter técnico y organizativo necesarias para garantizar y demostrar que el tratamiento es conforme a la normativa.
No obstante, el DPO deberá asesor directamente al máximo responsable de la entidad, el cual, deberá tener en cuenta la opinión y las directrices de éste, siendo suya la última palabra (y también la responsabilidad derivada de las consecuencias) a la hora de aceptar o no los consejos que recibe de su máximo asesor en materia de privacidad.
Aunque en las entidades que acabamos de mencionar es obligatorio contar con un DPO, no es necesario que los empleados de la misma realicen cursos específicos de este figura, ya que como veremos en el siguiente apartado, el DPO puede ser externo.
No obstante, si decidimos que un empleado de la entidad debe ser el DPO, y este no cuenta con los requisitos formativos necesarios para que sea considerado dicho nombramiento responsable, deberá realizar un itinerario formativo en una entidad acreditada por la AEPD, a fin de cumplir los requisitos formativos para poder ejercer de DPO.
El DPO podrá ser interno o externo a la empresa.
No, el representante legal de una entidad no puede ser nombrado DPO de la misma.
Uno de las principales características de DPO es su independencia.
Debe poder ejercer sus funciones de delegado sin ninguna limitación y, por supuesto, sin conflicto de intereses, que es lo que podría ocurrir si el representante fuera nombrado DPO
En lo casos en los que la empresa esté obligado a contar con uno, deberá cumplir con los requisitos que antes hemos mencionado.
En cambio, en los casos que, de forma voluntaria, se designe a un DPO sin estar obligada la entidad, si bien se regirá por el mismo régimen de independencia y de trabajo, los requisitos técnicos no deberán ser cumplidos, siempre y cuando este DPO voluntario cuente con asesoramiento externo específico en la materia.
Aunque, entendemos que en una gran empresa, una sola persona vea imposible el total control sobre todos los tratamientos de datos que ocurren en la misma.
Por lo tanto, una solución sería formar un órgano colegiado formado por los diferentes departamentos afectados, que con reuniones periódicas puedan resolver las problemáticas surgidas con el DPO principal.
Como hemos visto, el DPO es una figura muy importante para la protección de datos que se va a instaurar a partir del 25 de mayo de 2018.
Si bien es cierto que solo es obligatorio en ciertos casos nuestra recomendación como expertos en la materia es que todas las entidades deberían contar con esta figura.
Si tienes a alguien dentro de tu entidad con los conocimientos necesarios para poder ejercer de DPO solo tienes que inscribirlo en el registro de la AEPD al respecto.
Pero, si no es ese tu caso, y necesitas contratar un DPO externo, nuestro departamento jurídico cuenta con gestores especializados que podrán ejercer como tales ajustándote a las necesidades de tu entidad.
Delegado de Protección de Datos, una profesión de futuro
Delegado de Igualdad: ¿Qué es? ¿Es obligatorio?
Archivada en: DPO

References: artículo 39
 artículo 34
 artículo 34
 artículo 37
 artículo 37
 artículo 29