Source: https://www.lexdigitalabogados.com/funciones-del-delegado-de-proteccion-de-datos/
Timestamp: 2020-06-01 16:25:45
Document Index: 82119607

Matched Legal Cases: ['artículo 39', 'artículo 30', 'artículo 30', 'artículo 49', 'artículo 30', 'artículo 39', 'artículo 35', 'artículo 35', 'artículo 35', 'artículo 39', 'artículo 35', 'artículo 39', 'artículo 33', 'artículo 55', 'artículo 37', 'artículo 39', 'artículo 33', 'artículo 39', 'artículo 25', 'artículo 39', 'artículo 38', 'artículo 39']

FUNCIONES DEL DELEGADO DE PROTECCIÓN DE DATOS - Protección de datos - Lex Digital Abogados
Inicio•FUNCIONES DEL DELEGADO DE PROTECCIÓN DE DATOS
En el presente artículo vamos a identificar y analizar las 15 funciones del Delegado de Protección de datos (DPD); o en las que en la práctica estará involucrado.
Estas 15 funciones surgen de la lista de funciones enumeradas en el artículo 39 del Reglamento General de Protección de Datos (RGPD); que se agrupan en siete funciones del DPD.
Función preliminar:
0.- Delimitar el alcance del entorno del responsable.
Funciones organizativas:
1.- Crear un registro de operaciones de tratamiento de datos personales.
2.- Revisar las operaciones de tratamiento de datos personales.
3.- Evaluar los riesgos que implican las operaciones de tratamiento de datos personales.
4.- Gestionar operaciones que puedan dar lugar a un alto riesgo. Evaluación de Impacto de Protección de Datos (EIPD).
Funciones de supervisión del cumplimiento normativo:
5.- Repetición de las funciones anteriores y de forma continua.
6.- Gestionar violaciones de seguridad de datos personales.
7.- Investigación (incluyendo el tratamiento de las denuncias internas).
8.- Función consultiva.
9.- Respaldar y fomentar la “Protección de Datos por Diseño y por Defecto”.
10.- Asesorar sobre y supervisar el cumplimiento normativo de las políticas de protección de datos, de los contratos de corresponsables del tratamiento, responsable-responsable y responsable-encargado.
11.- Participación en códigos de conducta y certificaciones.
Función de cooperación y consulta a la APD:
12.- Cooperación con la APD.
Función de gestión de peticiones sobre protección de datos personales:
13.- Gestión de peticiones sobre protección de datos personales.
Funciones de información y sensibilización:
14.- Información y sensibilización.
15.- Planificación y revisión de las actividades del RPD.
Definir el alcance del entorno del responsable y preparar un mapa de las actividades de tratamiento de la organización en términos generales.
Un DPD solo podrá llevar a cabo funciones relativas a sus empleados si conoce completamente:
La distribución interna y la asignación de funciones y responsabilidades relativas a un tratamiento de datos personales.
Los enlaces y acuerdos externos de dicha organización con otras organizaciones.
Los marcos legales de aquellos.
Antes de realizar sus otras funciones principales el DPD deberá mapear dichos enlaces internos y externos y líneas de responsabilidad en relación con todas las operaciones de tratamiento de datos personales, y ponerlos en el contexto amplio de su función y objetivos en la organización, y familiarizarse con las normas correspondientes de forma rigurosa.
Para aclarar las estructuras y funciones internas, el DPD deberá en primer lugar, obtener y estudiar el organigrama de su organización.
FUNCIÓN 1.- CREAR UN REGISTRO DE OPERACIONES DE TRATAMIENTO DE DATOS PERSONALES:
El artículo 30 del RGPD dispone que cada responsable “llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad”; indicando varios detalles, como el nombre del responsable, de la operación, el objeto de la operación, las categorías de los interesados, datos personales y receptores, etc.
Contenido y estructura del registro de operaciones de tratamiento de datos personales como RESPONSABLE.
En virtud del artículo 30, apartado 1 del RGPD, el registro de operaciones de tratamiento de datos personales de un responsable consistirá en una colección de registros de cada una de dichas operaciones; y cada uno de dichos registros deberá incluir toda la información indicada a continuación:
Una descripción de las categorías de interesados y de las categorías de datos personales incluyendo si alguno de los datos entra en la lista de categorías especiales de datos / datos sensibles.
En su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y; en el caso de las transferencias indicadas en el artículo 49.1.2, la documentación de garantías adecuadas.
Contenido y estructura del registro de operaciones de tratamiento de datos personales como ENCARGADO.
En virtud del artículo 30, apartado 2 del RGPD, el registro de operaciones de tratamiento de datos personales de un encargado consistirá en una colección de registros de cada una de dichas operaciones; y cada uno de dichos registros deberá incluir toda la información indicada a continuación:
El nombre y los datos de contacto del encargado del tratamiento o encargados del tratamiento y de cada responsable del tratamiento en cuyo nombre actúa el encargado del tratamiento y, en su caso, del responsable del tratamiento o de su representante y del responsable de la protección de datos;
Las categorías de tratamientos efectuados por cuenta de cada responsable del tratamiento;
El DPD deberá construir el registro a partir de los datos que reciba en cada operación de tratamiento de datos personales.
FUNCIÓN 2.- REVISAR LAS OPERACIONES DE TRATAMIENTO DE DATOS PERSONALES:
El siguiente paso es llevar a cabo una revisión en profundidad de todas las operaciones de tratamiento de datos personales registradas; así como comprobar si cumplen los requisitos del RGPD en todos los aspectos pertinentes, incluidos los relativos a:
Objeto y límites.
Validez del consentimiento o aplicabilidad de cualquier otra base jurídica del tratamiento.
Datos personales procesados, así como su relevancia y necesidad en relación con el objeto.
Calidad de los datos (exactitud, veracidad, etc., así como la minimización y seudominización de los mismos).
Información ofrecida a la parte interesada por parte del responsable.
El periodo de tiempo durante el que se mantienen los datos de forma identificable.
Seguridad en el tratamiento de los datos, seguridad técnica, organizativa y/o física.
Transferencias transfronterizas.
Con los resultados de los aspectos anteriores, el DPD deberá valorar si la operación de tratamiento cumple con el principio fundamental de legalidad y equidad.
FUNCIÓN 3.- EVALUAR LOS RIESGOS QUE ENTRAÑAN LAS OPERACIONES DE TRATAMIENTO DE DATOS PERSONALES:
En virtud del artículo 39.2 del RGPD, el DPD deberá “En cumplimiento de sus funciones, tener en cuenta adecuadamente el riesgo asociado a las operaciones de tratamiento, teniendo en cuenta la naturaleza, alcance, contexto y objeto del tratamiento.
Para cumplir con esos requisitos se requiere que se verifiquen los riesgos correspondientes.
Los riesgos que son necesario evaluar no son solo riesgos de seguridad en un sentido reducido; es decir, la probabilidad e impacto de una brecha de seguridad, sino también los riesgos para los derechos y libertades de las partes interesadas (y de otros individuos) que pueda plantear la operación de tratamiento.
Una correcta evaluación de riesgos implica cuatro pasos:
Definición de la operación de tratamiento y de su contexto.
Comprensión y evaluación de impacto.
Definición de posibles amenazas y evaluación de su probabilidad (que suceda la amenaza).
Evaluación de riesgos (combinación de la probabilidad y del impacto).
Los niveles de impacto pueden identificarse en otros cuatro niveles:
Bajo: Inconvenientes menores que se solventan sin problema (tiempo perdido, molestias, irritaciones, etc.).
Medio: Inconvenientes importantes que se pueden superar a pesar de algunas dificultades (costes adicionales, denegación de acceso, miedo, estrés, falta de comprensión, etc.).
Alto: Inconvenientes con consecuencias significativas que se pueden superar con serias dificultades (malversación de fondos, listas negras, daños a la propiedad, pérdida de empleo, empeoramiento de la salud, etc.).
Muy alto: Inconvenientes con consecuencias significativas que no se pueden superar (incapacidad para trabajar, dolencias psicológicas o físicas de larga duración, fallecimiento, etc.).
Por otro lado, las principales áreas de evaluación en términos de seguridad de datos son:
Recursos de red y técnicos (equipo de hardware y software).
Procesos y procedimientos vinculados a la operación de tratamiento de datos.
Distintas partes y personas involucradas en la operación de tratamiento.
Sector, negocios y escala del tratamiento.
Una vez que se ha llevado a cabo la evaluación, si el DPD considera que una operación de tratamiento de datos no supone un riesgo para intereses relevantes, el DPD deberá informar a la persona o personas responsables a nivel interno de dichos riesgos, y sugerir acciones atenuantes o alternativas.
Si la evaluación indica que un tratamiento propuesto supone un probable alto riesgo para los riesgos y libertades individuales, el DPD deberá informar al responsable de que será necesario realizar una Evaluación de impacto de protección de datos (EIPD).
FUNCIÓN 4 GESTIONAR OPERACIONES QUE PUEDEN DAR LUGAR A UN ALTO RIESGO; LLEVAR A CABO UNA EVALUACIÓN DE IMPACTO DE PROTECCIÓN DE DATOS (EIPD):
Si la evaluación preliminar de riesgos de la Función 3 indica que una operación concreta de tratamiento de datos personales plantea un probable alto riesgo, el responsable deberá llevar a cabo una Evaluación de impacto de protección de datos (EIPD) antes de continuar con la operación.
El artículo 35.3 del RGPD estipula que, en cualquier caso, debe realizarse una EIPD en casos de toma de decisiones basadas en perfiles totalmente automatizadas, tratamiento a gran escala de datos sensibles, o supervisión a gran escala de un área accesible al público.
Por su parte, las APD nacionales deben, asimismo, adoptar listas de operaciones que queden sujetas a la EIPD en su territorio, y pueden adoptar listas de operaciones que no las requieran, como así ha hecho la Agencia Española de Protección de Datos (AEPD).
En relación con el artículo 35.1 del RGPD, el responsable, y no el DPD, debe llevar a cabo, cuando sea necesario, una Evaluación de Impacto de Protección de Datos (EIPD).
No obstante, el DPD puede jugar un papel muy importante y útil para ayudar al responsable.
Siguiendo el principio de protección de datos desde el diseño, el artículo 35.2 requiere, específicamente, que el responsable recabará el asesoramiento del DPD cuando realice una EIPD.
A su vez, el artículo 39.1.c), encomienda al DPD la Función de ofrecer asesoramiento cuando se requiera con respecto a la EIPD y supervisar su aplicación de conformidad con el artículo 35.
El GT29 recomienda que el responsable busque el asesoramiento del DPD, sobre los asuntos siguientes, entre otros:
Si llevar a cabo o no una EIPD.
Qué metodología seguir cuando se lleve a cabo una EIPD.
Si llevar a cabo la EIPD a nivel interno o si externalizar la función.
Qué garantías (medidas técnicas y organizativas) aplicar para mitigar los riesgos para los derechos e intereses de las partes interesadas.
Confirmar si se ha llevado a cabo adecuadamente la EIPD y si cumple con el RGPD.
FUNCIÓN 5.- REPETICIÓN DE LAS FUNCIONES 1, 2, 3 Y 4:
El artículo 39.1.b) confía al DPD, entre otras funciones, la de supervisar el cumplimiento de su organización con el RGPD, y el considerando 97 especifica, además, que el DPD debe ayudar al responsable o al encargado a supervisar el cumplimiento normativo interno del presente Reglamento.
El GT29 establece que, como parte de dichas funciones de control del cumplimiento normativo, el DPD podrá, en particular, de forma continua:
Recoger información para identificar las actividades del tratamiento.
Analizar y verificar el cumplimiento normativo de las actividades de tratamiento.
Informar, asesorar y emitir recomendaciones al responsable o al encargado.
Como parte de las funciones de supervisión del cumplimiento, el DPD también deberá asegurarse de que conoce cualquier cambio en el marco reglamentario y contractual en el que opera su organización.
De modo, que pueda identificar el impacto de dichos cambios en las operaciones de tratamiento de datos personales de su organización; y asesore adecuadamente a las personas pertinentes de su organización (incluida la alta dirección, si procede).
FUNCIÓN 6.- GESTIONAR VIOLACIONES DE SEGURIDAD DE DATOS PERSONALES:
El artículo 33.1 del RGPD establece que, en caso de violación de la seguridad de los datos personales; el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y; de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas; deberá ir acompañada de indicación de los motivos de la dilación.
En las organizaciones que hubieran nombrado a un DPD, este tendrá un papel importante en este aspecto, tal y como indica el GT29.
El responsable o el encargado del tratamiento podrán tener un DPD, bien en virtud de lo dispuesto en el artículo 37, o bien de forma voluntaria como buena práctica.
El artículo 39 del RGPD establece una serie de Funciones obligatorias para el DPD, pero no impide que el responsable del tratamiento le asigne, si procede, otras Funciones.
Las Funciones obligatorias del DPD incluyen, entre otras, proporcionar asesoramiento e información en materia de protección de datos al responsable o al encargado del tratamiento, supervisar el cumplimiento del RGPD y asesorar en relación con las EIPD.
Además, el DPD debe cooperar con la autoridad de control y actuar como punto contacto con dicha autoridad y con los interesados.
Asimismo, cabe señalar que, a la hora de notificar la violación a las autoridades de control, el artículo 33.3.b), exige que el responsable del tratamiento facilite el nombre y los datos de contacto de su DPD u otro punto de contacto.
Por lo que se refiere a la documentación de las violaciones, es posible que el responsable o el encargado del tratamiento deseen obtener la opinión de su DPD sobre su estructura, configuración y administración. Además, podría encomendarse al DPD la función de mantener dichos registros.
Por todo ello, el DPD debe desempeñar un papel clave a la hora de ayudar a prevenir una violación o a prepararse proporcionando asesoramiento y supervisión del cumplimiento, así como durante una violación y durante cualquier investigación posterior por parte de la autoridad de control.
En este sentido, el GT29 recomienda que el DPD sea informado con rapidez de la existencia de una violación y que participe en todo el proceso de gestión y de notificación de la misma.
FUNCIÓN 7.- INVESTIGACIÓN (DENUNCIAS INTERNAS Y EXTERNAS):
Aunque no se menciona expresamente en el RGPD, se deriva de las descripciones generales del puesto y funciones generales del DPD y, en especial, de su deber de supervisar el cumplimiento de lo dispuesto en el presente Reglamento.
El artículo 39.1.b) establece que, el DPD podrá, investigar asuntos y eventos que estén directamente relacionados con sus funciones, e informar de estos a la persona o entidad que encargó o solicitó la investigación, y/o a la dirección.
FUNCIÓN 8.- FUNCIÓN CONSULTIVA:
El DPD deberá asegurar que se respete el RGPD y asesorar a los responsables sobre el cumplimiento de sus obligaciones.
Por tanto, el DPD podrá informar, ofrecer asesoramiento o realizar recomendaciones para mejorar la práctica de protección de datos por parte de la organización.
El DPD también puede ser consultado por la dirección, el órgano representativo del personal o el sindicato, o incluso por cualquier miembro del personal, siempre que dicha persona pueda necesitar asesoramiento.
En consecuencia, para que el DPD pueda ejercitar su función consultiva la organización deberá asegurar que:
Se invite al DPD a participar periódicamente en reuniones de los altos cargos y directivos de nivel medio.
Se aconseje su presencia cuando se tomen decisiones con implicaciones en materia de protección de datos.
La opinión del DPD debe tenerse siempre en cuenta debidamente, en caso de desacuerdo, documentar las razones por las que no se ha seguido el consejo del DPD.
El DPD deberá ser consultado sin demora cuando se produzca una violación de datos u otro incidente.
En su caso, el responsable del tratamiento o el encargado del tratamiento podrían elaborar directrices o programas de protección de datos que establezcan cuándo y en que situaciones debe consultarse al DPD.
FUNCIÓN 9.- RESPALDAR Y FOMENTAR LA PROTECCIÓN DE DATOS POR DISEÑO Y POR DEFECTO:
Este es el nuevo requisito explícito del RGDP, que los responsables incorporen el principio de protección de datos por diseño y defecto en todas sus operaciones. Tal y como se menciona en el artículo 25 del RGPD.
La protección de datos por diseño tiene varias dimensiones:
La primera dimensión es que las operaciones de tratamiento de datos personales deben ser el resultado de un proyecto de diseño, que cubra el ciclo total del proyecto, dentro del cual puedan identificarse claramente los riesgos y requisitos de protección de datos.
La segunda dimensión es que el proyecto de diseño debe basarse en un enfoque de gestión del riesgo dentro del cual los activos que se han de proteger son las personas cuyos datos se van a tratar y, en especial, sus derechos y libertades fundamentales.
La tercera dimensión es que las medidas que se han de adoptar para proteger los derechos y libertades de dichas personas deben ser adecuados y eficaces en relación con dichos riesgos.
La cuarta dimensión es la obligación de integrar las garantías identificadas necesarias, adecuadas y eficaces en el tratamiento.
Por todo ello, el papel del DPD es fundamental, y su implicación es crucial en un enfoque desde el diseño y por defecto.
Es necesario que estén al tanto desde las fases tempranas, cuando las organizaciones planifican sistemas para el tratamiento de datos personales, de modo que puedan dar apoyo a los directivos, propietario del negocio, y departamentos de TI y de tecnologías, según sea necesario.
FUNCIÓN 10.- ASESORAR Y SUPERVISAR SOBRE EL CUMPLIMIENTO NORMATIVO DE LAS POLÍTICAS DE PROTECCIÓN DE DATOS; DE LOS CONTRATOS DE CORRESPONSABLES DEL TRATAMIENTO; RESPONSABLE-RESPONSABLE Y RESPONSABLE-ENCARGADOS; NORMAS CORPORATIVAS VINCULANTES Y CLÁUSULAS DE TRANSFERENCIA DE DATOS:
Para cumplir con el RGPD y, especialmente, para demostrar dicho cumplimiento normativo, los responsables pueden y deben adoptar o adherirse a un conjunto de medidas:
Preparación y adopción formal de políticas internas de protección de datos:
Formularios en papel, electrónicos, declaraciones sobre privacidad y protección de datos en páginas web, uso de cookies y otros rastreadores de la organización.
Registros de acceso y alteración de software y hardware.
Emisión de parches de seguridad por su propio software.
La adopción de acuerdos administrativos entre autoridades o entidades públicas, especialmente si puede afirmarse que seas corresponsables sobre determinadas operaciones de tratamiento.
Adhesión y aceptación de contratos relevantes con otros responsables y encargados.
Adhesión o aceptación de contratos de transferencia de datos aprobados individualmente o estándar.
Todas estas responsabilidades son del responsable más que del DPD. No obstante, en la práctica, el DPD debe estar involucrado en todos esos asuntos.
Como mínimo, cualquier nuevo DPD, deberá revisar cualquier documentación e instrumentos existentes de este tipo, para comprobar si continúan cumpliendo con todos los requisitos legales de protección de datos.
Sobre la base de dicha revisión, deberá recomendar cambios sobre los documentos actuales, etc., especialmente si hubieran sido preparados y adoptados con anterioridad a la adopción y entrada en vigor del RGPD; y deberá recomendar la preparación y la adopción de dichos documentos, etc., si debieran existir dichos documentos, etc., pero no existen.
Además, el DPD está formalmente a cargo de supervisar el cumplimiento de lo dispuesto en cualquier política, acuerdo y contrato que adopte o formalice el responsable en relación con el tratamiento de datos personales.
FUNCIÓN 11.- IMPLICACIÓN EN CÓDIGOS DE CONDUCTA Y CERTIFICACIONES:
Es el responsable y no el DPD quien decidirá si adherirse a un código relevante para el sector en el que opere la organización, o si tratar de obtener una certificación de protección de datos del tipo que se contempla en el RGPD en los artículos 40-43. No obstante, es totalmente aceptable que un DPD recomiende dicha acción.
De hecho, es bastante apropiado que los DPD y organizaciones que operen en un determinado sector se impliquen en la preparación de códigos de conducta para dicho sector.
El DPD podrá, además, colaborar en la obtención de un certificado por parte de su organización, ayudando a agrupar o proporcionar, al Organismo de certificación correspondiente, toda la información y acceso a sus actividades de tratamiento que necesite para llevar a cabo el procedimiento de certificación.
FUNCIÓN 12.- COOPERACIÓN CON LA APD:
El DPD tendrá la función de responder a solicitudes que provengan de la APD y, dentro de la esfera de su competencia, cooperará con la APD cuando así se lo solicite o a su propia iniciativa, en virtud del artículo 39.1.d).
El DPD juega un papel crucial ayudando a la APD en la ejecución de las inspecciones in situ, en las consultas del DPD con los responsables en sectores específicos, etc.
Es raro que una APD lleve a cabo inspecciones sin aviso previo, esto se hace tan solo en relación con elementos peligrosos, sospechosos que puedan ocultar datos u otras evidencias, si se les informa previamente de una inspección.
En la práctica, las APD suelen acordar las inspecciones previamente, con la ayuda del responsable, y en especial el DPD del responsable, quien podrá garantizar que esté disponible la persona adecuada y que puedan inspeccionarse los lugares y sistemas adecuados.
Asimismo, en el caso de que una APD pretenda examinar en detalle el tratamiento de datos personales en un contexto o sector particular, pues la mayoría lo hacen en un plan determinado anualmente y selección de prioridades, recurriendo al DPD de los responsables activos en el contexto o sector para obtener información real, celebrando reuniones con ellos y solicitando respuesta a sus consultas. Esto es, también, parte de lo que se denomina asociación estratégica entre los DPD y las APD.
FUNCIÓN 13.- GESTIÓN DE PETICIONES SOBRE PROTECCIÓN DE DATOS PERSONALES Y DENUNCIAS:
En virtud del artículo 38.4 del RGPD los interesados podrán ponerse en contacto con el DPD por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos.
Los interesados que deseen ejercitar alguno de sus derechos como interesados, (I) derechos de acceso; (II) rectificación; (III) eliminación (derecho al olvido); (IV) restricción del tratamiento; (V) portabilidad de los datos; (VI) derecho a oponerse en general; y (VII) en relación con la toma de decisiones automatizadas y perfilado; se dirigirán, por lo general, en primer lugar al DPD de dicha organización si existe uno.
Además, la independencia del DPD debe garantizar que la solicitud, pregunta o denuncia sea gestionada por el DPD, o por los miembros del personal a quienes supervise el DPD, de forma adecuada, sin tendencia en favor de la organización o contra el interesado.
En cualquier caso, el DPD deberá escribir o revisar la respuesta al interesado. Esto incluirá el consejo de que, si el interesado no queda satisfecho con la respuesta, podrá elevar el asunto a la APD.
El derecho de los interesados a enviar solicitudes, consultas y denuncias a la organización; lo es sin perjuicio de su derecho a presentar una reclamación ante la APD.
FUNCIÓN 14.- INFORMACIÓN Y SENSIBILIZACIÓN INTERNA Y EXTERNA:
El artículo 39.1.a) del RGPD establece que dentro de las funciones del DPD se encuentra la de informar y asesorar al (I) responsable; o (II) al encargado del tratamiento; y (III) a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y; de las disposiciones de protección de datos de la Unión o de los Estados miembros.
A nivel interno, el DPD debe informar al personal de sus derechos y, por otro lado; debe instruir a los responsables y a la organización y miembros del personal, sobre sus obligaciones y responsabilidades.
Externamente, el DPD debe garantizar que se ofrezca la información relevante a los interesados cuando se recojan por primera vez sus datos personales.
FUNCIÓN 15.- PLANIFICACIÓN Y REVISIÓN DE LAS ACTIVIDADES DEL RESPONSABLE:
Por último, el responsable deberá preparar un plan anual de sus actividades teniendo en cuenta:
El tiempo necesario para realizar cada una de ellas.
Planificando los nuevos eventos previsibles.
Teniendo en cuenta los posibles acontecimientos imprevistos.
Con todo ello, el DPD revisará y actualizará periódicamente esta planificación.
Arturo .2020-01-24T12:38:16+00:00