Source: http://oiprodat.com/2014/10/29/el-delgado-de-proteccion-de-datos-en-el-proyecto-de-reglamento-europeo-una-vision-de-futuro/
Timestamp: 2019-07-20 15:05:16+00:00

Document:
El Delgado de Protección de Datos en el Proyecto de Reglamento Europeo: una visión de futuro – Observatorio Iberoamericano de Protección de Datos
Leyendo el borrador del Reglamento del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), observo la aparición de una figura novedosa, en relación a la LOPD (Ley Orgánica de Protección de datos) vigente en el estado español.
Ambas en concordancia y como transposición de la Directiva europea 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
RESPONSABLE DEL FICHERO O TRATAMIENTO (DATA CONTROLLER): «La persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros, decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente».
ENCARGADO DEL TRATAMIENTO (DATA PROCESSOR): «Es la persona física o jurídica, pública o privada u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio».
NOTA DEL EDITOR. Si observamos los controles de seguridad del apéndice A de la ISO 27001:2013, vemos que está el objetivo 18.1 “Compliance with legal and contractual requirements”, que se implementa mediante los controles 18.1.1. al 18.1.5. El control 18.1.4. trata sobre privacidad y protección de información identificable personal.
DELEGADO DE PROTECCIÓN DE DATOS (DPO): “(75) Si el tratamiento se efectúa en el sector público o en el caso de que, en el sector privado, el tratamiento lo realice una gran empresa, o si sus actividades esenciales, con independencia del tamaño de la empresa, implican operaciones de tratamiento que exijan un seguimiento periódico y sistemático, una persona debe ayudar al responsable o encargado del tratamiento a supervisar la observancia interna del presente Reglamento. Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento, deben estar en condiciones de desempeñar sus funciones y tareas con independencia”.
Vemos que para una organización es imprescindible disponer de dicha nueva figura del DPO (Delegado de Protección de Datos) si se da alguno de los siguientes condicionantes:
El tratamiento sea llevado a cabo por autoridades u organismos públicos.
El tratamiento sea llevado a cabo por una persona jurídica con respecto a más de 5.000 interesados durante un periodo consecutivo de 12 meses. (Tendrá una afectación directa a muchas empresas que gestiones BB.DD. de Marketing).
Las actividades principales del responsable o del encargado del tratamiento consistan en el tratamiento de categorías especiales de datos con arreglo al artículo 9, apartado 1, datos de localización o datos relativos a niños o a empleados en ficheros a gran escala.
Con respecto a la posible obligación de nombrar a un DPO, CEDPO (Confederation of European Data Protection Organizations) en su día sugirió tener en cuenta los siguientes criterios basados en los riesgos que presenta la actividad. Observamos que prácticamente la totalidad de sus sugerencias se han incorporado al nuevo texto.
Sensibilidad de los datos o el tratamiento. Naturalmente, la sensibilidad de los datos que están siendo procesados tiene que ser tomada en cuenta. Por ejemplo de acuerdo con la Ley Federal Alemana de Protección de Datos (BDSG), la obligación de nombrar a un DPO se aplica en todos los casos donde se requiere control previo (en el Reglamento, el Comité se remite a la «consulta»). Esto puede incluir el tratamiento de los datos sensibles de acuerdo con el artículo 8 (1) de la Directiva de la UE (95/46/CE) a menos que este tratamiento está obligado a cumplir con la legislación nacional o simplemente incidental. En cualquier caso, CEDPO cree que la evaluación de la utilidad de nombrar a un DPO debería ser parte de la evaluación del impacto en la protección de datos individual llevado a cabo por el responsable.
Cantidad de datos objeto de tratamiento. Las organizaciones que procesan grandes cantidades de datos personales son más propensas a padecer situaciones de riesgo para los derechos y libertades de los interesados que las que sólo tratan un mínimo de datos personales. En general, las organizaciones en las que el tratamiento de datos personales es una parte importante de su finalidad principal (por ejemplo, los proveedores de servicios de Internet o de telecomunicaciones) tienen un potencial de mayor riesgo, debido a las grandes cantidades de datos personales tratados. Lo mismo se aplica a las empresas que traten datos personales en nombre de sus clientes. CEDPO está de acuerdo con la Comisión de que los mecanismos de control interno son especialmente importantes «en los casos cada vez más comunes en donde los responsables delegan el tratamiento en otras entidades (por ejemplo, encargados).» Incluso si el responsable sigue siendo responsable en estos casos, es esencial tener una persona de contacto con conocimientos dentro del encargado.
A continuación se muestra un mapa donde se representa la figura adoptada por los diversos países de la UE en relación a la protección de datos de naturaleza personal.
NOTA DEL EDITOR. La figura del DPO o equivalente ya existe actualmente en otros países de la UE. Puede verse un estudio elaborado por CEDPO (1) en el apartado de bibliografía.
Ofrecer el asesoramiento que se le pida acerca de la evaluación de impactorelativa a la protección de datos y supervisar su realización de conformidad con el artículo 33.
Normalmente será un consultor especializado, independiente o adscrito a undespacho profesional o a una empresa de consultoría, el que actúe y reciba el nombramiento como DPO externo.
“Art. 35.5: El (…) delegado de protección de datos será designado atendiendo a suscualidades profesionales y, en particular, a sus conocimientos especializados de la legislación y las prácticas en materia de protección de datos contempladas en el artículo 37, y en particular a la ausencia de conflictos de intereses. (…)”
«Art. 35.7: (…). Durante su mandato, el delegado de protección de datos solo podrá ser destituido, aparte de por motivos graves que, con arreglo al Derecho del Estado miembro afectado, justifiquen la destitución de un empleado o funcionario, si deja de cumplir las condiciones requeridas para el ejercicio de las funciones que se le atribuyen en el artículo 37.
“Art. 36.1. El responsable o el encargado del tratamiento velarán por que el delegado de protección de datos participe adecuada y oportunamente en todas las cuestionesrelativas a la protección de datos personales”.
“Art. 36.2. El responsable o el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las tareas contempladas en el artículo 37 facilitando tanto (…) los recursos necesarios para el desempeño de dichas tareas como el acceso a los datos personales y a las operaciones de tratamiento”..
“Art. 36.4. El delegado de protección de datos podrá desempeñar otras tareas y funciones. El responsable o encargado del tratamiento garantizará que dichas tareas y funciones no den lugar a conflicto de intereses”.
“Art. 35.5: El responsable o el encargado del tratamiento designarán el delegado de protección de datos atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados de la legislación y las prácticas en materia de protección de datos, y a su capacidad para ejecutar las tareas contempladas en el artículo 37. El nivel de conocimientos especializados requerido se determinará, en particular, en función del tratamiento de datos llevado a cabo y de la protección exigida para los datos personales tratados por el responsable o el encargado del tratamiento.»
“3.4.10. CAPÍTULO X – ACTOS DELEGADOS Y ACTOS DE EJECUCIÓN. El artículo 86 contiene las disposiciones tipo para el ejercicio de las delegaciones en consonancia con el artículo 290 del TFUE. Ello permite al legislador delegar en la Comisión el poder de adoptar actos no legislativos de alcance general que completen o modifiquen determinados elementos no esenciales de un acto legislativo (actos cuasi legislativos)”.
El borrador no concreta una determinada formación académica o profesional, sino que alude a unos conocimientos especializados tanto de tipo jurídico, como de gestión de la protección de datos, junto con la capacidad de atender a las tareas específicas previstas en el art. 37, y todo ello teniendo en cuenta que deberá disponer de conocimiento especializado respecto de los tratamientos, es decir, poseer de un cierto nivel de conocimiento en relación al sector de actividad en el que se desenvuelve la organización. Luego a los conocimientos generales en materia de protección de datos (jurídicos y de gestión), deberán unirse conocimientos especializados en relación al tratamiento concreto (banca, salud, administraciones públicas, marketing, etc.), según el caso.
NOTA DEL EDITOR: Para un análisis de lo más importante o novedoso en relación a la propuesta de la Comisión Europea para regular la protección de datos personales en la Unión Europea en las próximas décadas.
Para un análisis comparativo del borrador del Reglamento publicado el 25 de enero de 2012 por la Comisión Europea, de modo que permita conocer en detalle todos los aspectos regulados, el resultado de su comparación con la normativa española vigente, y el posible impacto que tendrá sobre las entidades públicas o privadas.
Comisión Europea. 25 Enero 2012. “Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos)”.
Consejo de la Unión Europea. 3 de octubre 2014. “Propuesta de Reglamento del Parlamento Europeo y del Consejo… (Reglamento General de Protección de Datos). Primera lectura”. Capítulo IV.
iiR España. “Documentación OnLine completa de la última edición del Seminario:DATA PROTECTION OFFICER”.
http://www.iirspain.com/Documentacion/
Francisco José Santamaría Ramos. 2011. “EL ENCARGADO INDEPENDIENTE, figura clave para un nuevo Derecho de protección de datos”. Editorial LA LEY (grupo Wolters Kluwer).
(1) CEDPO contribution. 6 Febrero 2012. “COMPARATIVE ANALYSIS OF DATA PROTECTION OFFICIALS ROLE AND STATUS IN THE EU AND MORE”.
Peter Hustings (The European Data Protection Supervisor). 12 Octubre 2010. “DECISION OF THE EUROPEAN DATA PROTECTION SUPERVISOR”.
The European Data Protection Supervisor. 28 Noviembre 2005. ”POSITION PAPER ON THE ROLE OF DATA PROTECTION OFFICERS IN ENSURING EFFECTIVE COMPLIANCE WITH REGULATION (EC) 45/2001”.
Network of Data Protection Officers of the EU institutions and bodies. 14 Octubre 2010. “PROFESSIONAL STANDARDS FOR DATA PROTECTION OFFICERS OF THE EU INSTITUTIONS AND BODIES WORKING UNDER REGULATION (EC) 45/2001”.
CNIL. “DPO in Europe – Which countries in Europe have adopted a Data Protection Officer?”. Página web.
DPO, Protección de datos, Regulación, Unión Europea

References: artículo 9
 artículo 8
 artículo 33
 artículo 37
 artículo 37
 artículo 37
 artículo 37
 artículo 86
 artículo 290