Source: http://noticias.juridicas.com/base_datos/CCAA/621645-acuerdo-administracion-publica-y-relaciones-institucionales-11-2018-de-15-may.html
Timestamp: 2020-04-04 01:54:17+00:00

Document:
Acuerdo 11/2018, de 15 de mayo, de la Diputación Foral de Bizkaia, por el que se procede a la creación, designación y regulación del estatuto jurídico de la persona delegada de protección de datos de la Diputación Foral de Bizkaia y Entidades Forales del artículo 2 del Decreto Foral Normativo 5/2013, de 3 de diciembre, por el que se aprueba el Texto Refundido de la Norma Foral 5/2006, de 29 de diciembre, General Presupuestaria del TTHH Bizkaia
Publicado en BOB núm. 99 de 24 de Mayo de 2018
Segunda.- Identificación y designación del DPD
Tercera.- Ámbito de actuación
Cuarta.- Posición en la estructura organizativa
Quinta.- Compatibilidad de funciones
Sexta.- Acreditación de la cualificación y competencia del DPD
Séptima.- Actividades a desempeñar por el DPD
Octava.- Asignación de recursos
Novena.- Ausencias
Décima.- Eficacia de la designación
Con la entrada en vigor del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, en adelante RGPD, se crea la figura de la persona Delegada en Protección de Datos, como persona designada internamente por las organizaciones obligadas, que controla y vigila el correcto despliegue y desarrollo de cada organización en materia de protección de datos.
Esta nueva figura interna es de carácter obligatorio en las Administraciones Públicas y teniendo en cuenta que el RGPD es plenamente aplicable a partir del 25 de mayo de 2018.
En cumplimiento de tales disposiciones, la Diputación Foral de Bizkaia ha aprobado en fecha 15 de mayo de 2018, la creación, designación y regulación del estatuto jurídico de la persona delegada de protección de datos de la Diputación foral de Bizkaia y Entidades Forales del Artículo 2 del Decreto Foral Normativo 5/2013, de 3 de diciembre, por el que se aprueba el Texto Refundido de la Norma Foral 5/2006, de 29 de diciembre, General Presupuestaria del TTHH Bizkaia y ordena la publicidad de la creación, designación y regulación dada en el «Boletín Oficial de Bizkaia».
Previa aprobación por el Consejo de Gobierno de la Diputación Foral de Bizkaia de 15 de mayo de 2018, mediante sesión de la Comisión Interdepartamental de Dirección celebrada el 10 de mayo de 2018 se valida la propuesta de creación, nombramiento y regulación de la figura jurídica, Persona Delegada en Protección de Datos, que nos ocupa.
En cumplimiento de todo lo anterior, por la presente, y en uso de las atribuciones conferidas por el ordenamiento jurídico en vigor se da cumplimiento a la publicación de la creación, nombramiento y regulación de la figura jurídica, Persona Delegada en Protección de Datos, de acuerdo con los siguientes términos:
El objeto del acuerdo es la designación formal, así como la regulación de la figura de la persona Delegada de Protección de Datos por la Diputación Foral de Bizkaia, en el ámbito de actuación que se indican en el apartado Tercero y con las tareas que se definen en el apartado Séptimo, conforme a las exigencias establecidas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como en la normativa que la desarrolle.
Las funciones y el cargo de la persona Delegada de Protección de Datos serán ejercidas por la Jefatura de la Sección de Asesoramiento Jurídico, Seguridad de la información y Protección de datos, adscrito directamente al Gabinete de Modernización, Buen Gobierno y Transparencia, tal y como se establece en el Decreto Foral de la Diputación Foral de Bizkaia 86/2016, de 10 de mayo, por el que se aprueba el reglamento de estructura orgánica del Departamento de Administración Pública y Relaciones Institucionales. Los ulteriores cambios orgánicos no afectarán a la presente designación, salvo manifestación expresa en contrario.
La persona Delegada de Protección de Datos ejercerá su competencia en el ámbito de la Diputación Foral de Bizkaia y de todas las Entidades Forales incluidas en el artículo 2 del Decreto Foral Normativo 5/2013 de 3 de diciembre, por el que se aprueba el texto refundido de la Norma Foral 5/2006, de 29 de diciembre, General Presupuestaria, del Territorio Histórico de Bizkaia, en la medida que traten datos de carácter personal, tanto en concepto de Responsable de Tratamiento o Encargado del Tratamiento, ya sea en soporte digital o no automatizado.
El Decreto Foral de la Diputación Foral de Bizkaia 86/2016 de 10 de mayo, por el que se aprueba el reglamento de estructura orgánica del Departamento de Administración Pública y Relaciones Institucionales, regula la posición organizativa de la persona Delegada en Protección de Datos, asumiendo las nuevas tareas cuya ejecución no conllevan ningún tipo de conflicto de intereses. Su opinión respecto a los temas relativos a sus funciones y tareas los manifestará con absoluta libertad, dejando constancia de las mismas en documento en el que muestre su parecer. Su relación directa con los órganos de control, así como con otros entes institucionales garantiza su autonomía de criterio, dado que en sus opiniones no se someterá ni será tutelada ni deberá acompañarse ni refrendarse por otros miembros superiores orgánicos de la Diputación Foral de Bizkaia.
La persona Delegada de Protección de Datos ejercerá sus funciones plenamente, compatibilizando su actividad con el resto de tareas que tiene encomendadas, sin que pueda producirse un detrimento del servicio.
Habiendo sido designada como persona Delegada de Protección de Datos a la persona que ocupe el puesto de una Jefatura de la Sección, y considerando que dicho puesto, conforme al artículo 6 del Decreto Foral de estructura orgánica antedicho, se cubre con personal específicamente capacitado por su titulación, su cualificación profesional queda sobradamente demostrada. Eso no es óbice para que la persona designada y su equipo deba realizar periódicamente formaciones adecuadas a su perfil que le permita mantener y actualizar su conocimiento a las novedades en la materia de protección de datos. Por otra parte, y dado que la Jefatura de Sección conlleva la capacidad, rigor y solvencia de los puestos directivos y de mando, la competencia para el ejercicio de las tareas descritas en el apartado séptimo queda cubierta cumpliendo todos los estándares en la materia.
7.1. Además de las propias determinadas por el Reglamento de estructura orgánica de la Diputación Foral y de todas aquellas tareas, funciones o actividades que la Ley Orgánica de Protección de Datos le encomiende en desarrollo del RGPD, deberá realizar las siguientes tareas específicas, propias de las funciones de la persona Delegada en Protección de datos de carácter personal que se describen a continuación:
I. Realizará las siguientes acciones respecto a las operaciones de tratamiento:
1. Detectar y revisar, asesorar y auditar las posibles novedades, cambios, modificaciones o supresiones de actividades de tratamiento de datos de carácter personal realizados por los Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
2. Revisar, asesorar y auditar con precisión los principios del tratamiento, las finalidades y la base jurídica o la compatibilidad de finalidades distintas de las que originaron la recogida inicial de los datos de los tratamientos, que llevan a cabo los Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
3. Revisar, asesorar y auditar las disposiciones y normativas reguladoras que amparen los tratamientos basados en el ejercicio de potestades o intereses públicos realizados por los Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo. En concreto, detectará normativa sectorial que pueda determinar condiciones de tratamiento específicas distintas de las establecidas por la normativa general de protección de datos.
4. Revisar, asesorar y auditar los plazos de conservación aplicables a los tratamientos que se hayan designado por los Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
5. Revisar, asesorar y auditar los análisis de los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento realizados por los Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
II. Realizará las siguientes tareas respecto al cumplimiento normativo:
1. Informar, asesorar y emitir recomendaciones a los diferentes Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
2. Revisar y asesorar sobre las normas y procedimientos que en materia de seguridad afecten a las actividades de tratamiento de los datos, incluida la asignación de responsabilidades de los diferentes Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
3. Revisar, asesorar y auditar el grado y calidad realizada en la implantación y despliegue de las normas y procedimientos que en materia de seguridad afecten a las actividades de tratamiento de los datos, incluida la asignación de responsabilidades de los diferentes Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
4. Participar en la planificación y ejecución destinada a concienciar y formar en materia de protección de datos al personal de los diferentes Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
5. Participar de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales mediante reuniones con las diferentes Áreas, Direcciones o Secciones de los diferentes Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo.
6. Revisar, asesorar y auditar en el establecimiento de mecanismos y herramientas para la detección de vulneraciones de seguridad de los datos, haciendo especial seguimiento sobre todas aquellas que pudieran ocasionar algún tipo de riesgo para los derechos y libertades de los afectados.
7. Revisar, asesorar y auditar la gestión de las vulneraciones de protección de datos acaecidas en la organización, sean o no objeto de notificación.
8. Revisar, asesorar y auditar los mecanismos de comunicación de las vulneraciones de seguridad a responsables del tratamiento o a los encargados del tratamiento, y en su caso, a las personas interesadas.
9. Asesorar en la valoración de la adhesión a códigos de conducta o certificaciones/sellos/marcas que acrediten el cumplimiento de la organización.
10. Revisar, asesorar y auditar el grado de cumplimiento a los códigos de conducta o certificaciones/sellos/marcas adheridos.
III. Realizará las siguientes tareas respecto a la evaluación de impacto y medidas de seguridad:
1. Revisar, asesorar y auditar los análisis de riesgo realizados por los diferentes Responsables y/o Encargados del Tratamiento incluidos en el alcance del Acuerdo, que pondere los peligros a los que se someten los derechos y libertades de los ciudadanos de los diferentes tratamientos de datos que se desarrollen.
2. Asesoramiento ante si se debe llevar a cabo o no una evaluación de impacto de la protección de datos en los diferentes tratamientos.
3. Asesorar en la definición de la metodología a llevar a cabo ante una evaluación de impacto.
4. Revisar, asesorar y auditar la ejecución de una evaluación de impacto de la protección de datos.
5. Revisar, asesorar y auditar las salvaguardas (incluidas medidas técnicas y organizativas) a aplicar para mitigar cualquier riesgo para los derechos e intereses de los afectados, así como que garanticen la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento, así como la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico. En concreto, revisará las medidas de protección de datos desde el diseño y protección de datos por defecto adecuadas a los riesgos y naturaleza de los tratamientos.
6. Revisar, asesorar y auditar los procesos de verificación, evaluación y valoración reguladores de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. En concreto, supervisará el Diseño e implantación de políticas de protección de datos en la organización.
7. Analizar los resultados de las auditorías realizadas en materia de protección de datos, elevando sus conclusiones de la misma al responsable del Tratamiento o a su Encargado.
IV. Realizará las siguientes tareas respecto a las relaciones con terceros:
1. Revisar, asesorar y auditar las cláusulas y avisos legales utilizados para informar a las personas interesadas cuando se recaban sus datos personales.
2. Diseñar y ordenar la implantación de medidas de información a los afectados por los tratamientos de datos.
3. Revisión y análisis de los consentimientos, incluidos los otorgados por menores, mediante distintos canales y soportes como papel, electrónico o telefónico, tratando que sean adecuados a la normativa de protección de datos, y en concreto, que cumplan con los requisitos de la finalidad para la cual se autorizaron.
4. Revisar, asesorar y auditar las cláusulas y modelos de contratos, convenios, encomiendas o cualquier otro instrumento jurídico que articule las relaciones jurídicas con encargados de tratamiento o terceros de acuerdo a lo previsto en la normativa de protección de datos.
5. Evaluación de las garantías ofrecidas por potenciales encargados de tratamiento en el ámbito del cumplimiento de la normativa de protección de datos.
6. Coordinar la actuación con encargados de tratamiento y en su caso, con el persona delegada en Protección de Datos del encargado de tratamiento.
7. Recomendar las instrucciones y medidas de seguridad concretas a aplicar por el encargado de tratamiento.
8. Control y supervisión de las medidas de seguridad efectivamente implantadas por el encargado de tratamiento, especialmente, de aquellas relacionadas con la seudonimización y el cifrado de datos.
9. Revisar, asesorar y auditar los procedimientos de atención de ejercicios de derechos de la ciudadanía, implantados tanto por los responsables como por los encargados del tratamiento.
10. Revisar, asesorar y auditar la gestión interna de los efectivos ejercicios de derechos iniciados por los ciudadanos, contrastando su cumplimiento en plazo y forma.
11. Interlocución, a petición de las personas interesadas, relativas a las solicitudes de ejercicios de derechos realizadas ante el responsable de datos, o el encargado del tratamiento.
12. Cooperar con la autoridad de control, actuando como punto de contacto para cuestiones como la consulta previa ante un tratamiento de datos que entrañe alto riesgo y no se hayan hallado medidas solventes para mitigarlo.
13. Realización de consultas ante los organismos de control, en materia de protección de datos.
14. Analizar la posible adaptación de los instrumentos de transferencia internacional de datos personales a las previsiones de la normativa de protección de datos.
15. Valoración previa de transferencias internacionales de datos y la necesidad de requerir autorización de las autoridades de protección de datos.
7.2. La persona Delegada de Protección de datos manifestará su parecer en todas las labores que tiene encomendadas, y en todo caso, documentará toda decisión adoptada por el responsable o el encargado contraria a su criterio.
7.3. Las tareas definidas expresan la acción que debe ejecutar la persona Delegada de Protección de datos, debiendo desencadenarse su acción como resultado de diferentes peticiones y procedimientos desarrollados en distintos documentos, tales como pudieran ser las tramitaciones incluidas en la Política de Protección de datos, en la Política de Seguridad o en los procedimientos de notificación de incidencias. Las cuestiones materiales, procedimentales, los plazos, los periodos y la forma concreta de su ejecución serán definidos en dichos instrumentos.
7.4. La habilitación general del ejercicio de las funciones arriba descritas se encuentra en la redacción del artículo 11.2. Decreto Foral de la Diputación Foral de Bizkaia 86/2016 de 10 de mayo, por el que se aprueba el reglamento de estructura orgánica del Departamento de Administración Pública y Relaciones Institucionales, en el que se manifiesta que «se le atribuye con carácter general el ejercicio de funciones orientadas al impulso, programación, asesoramiento, diseño, gestión y evaluación de las políticas y programas de actuación en los ámbitos de seguridad de la información y protección de datos de carácter personal».
Anualmente se destinará una partida presupuestaria suficiente a las necesidades del servicio, debiendo ser ecuánime con las tareas a desarrollar en razón a las actividades a gestionar. Estas tareas podrán ser ejecutadas con recursos propios, ajenos o externos, debiendo actuar todo el personal de apoyo bajo la autoridad de sus instrucciones. Este personal de apoyo realizará labores de ejecución material, debiendo ser los actos decisorios propios de la Jefatura. La responsabilidad de los actos, en el ámbito de sus competencias como persona Delegada en Protección de Datos, recaerá exclusivamente en la Jefatura, pudiendo posteriormente depurar las correspondientes responsabilidades. Entre el personal de apoyo a la persona Delegada de Protección de datos se encuentran, entre otras:
Las personas componentes de la Sección de Asesoramiento Jurídico, Seguridad de la información y Protección de datos ya mencionada o personas integrantes de la sección o servicio de la estructura orgánica que asuma las funciones en la materia ante hipotéticos cambios en la estructura orgánica o funcionales.
Las personas Responsables de cada Departamento Foral en materia de Protección de datos designadas en virtud del Decreto Foral de la Diputación Foral de Bizkaia 173/2013, de 10 de diciembre, («Boletín Oficial de Bizkaia» número 238, de 13 de diciembre de 2013), en adelante «personas dinamizadoras» encargadas de dinamizar e impulsar acciones en esta materia.
Las personas Responsables designadas en materia de protección de datos en las Entidades Forales definidas en el apartado Tercero.
Dado que la designación de la persona Delegada de Protección de datos viene inexorablemente unida a la Jefatura de la Sección, las situaciones de baja, vacante, ausencia, vacaciones, permisos o situaciones similares, asumirá la designación la persona que legalmente cubra el puesto o que asuma las funciones de la Jefatura, aún con carácter temporal, accidental o interino.
Instar al Departamento de Administración Pública y Relaciones Instituciones a realizar todos los trámites oportunos que permitan el cumplimiento del Acuerdo, no debiendo emitirle a la Persona Delegada en Protección de datos ningún tipo de instrucción, en lo que respecta al desempeño de sus funciones, y sin poder ser destituido ni sancionado por causas relacionadas con ese desempeño de funciones. Igualmente, se insta a todos los Departamentos forales y a las Entidades Forales incluidas en el artículo 2 del Decreto Foral Normativo 5/2013 de 3 de diciembre, por el que se aprueba el texto refundido de la Norma Foral 5/2006, de 29 de diciembre, General Presupuestaria, del Territorio Histórico de Bizkaia a que cumplan sus obligaciones respecto a las tareas y funciones descritas, respetando y colaborando en la actividad de la persona Delegada de Protección de datos, que le hagan participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales que vayan a adoptar.
De conformidad con el artículo 37.7 de Reglamento Europeo de Protección de Datos, se dará publicidad a los datos necesarios de la persona delegada en protección de datos a efectos de contactar con la misma y de que a los efectos del artículo 30 del Reglamento referenciado, se incluyan sus datos en el registro de Actividades de Tratamiento.

References: artículo 2
 Artículo 2
 artículo 2
 artículo 6
 artículo 11
 artículo 2
 artículo 37
 artículo 30