Source: http://gestores-publicos.blogspot.com/2018/01/rafael-jimenez-asensio-el-delegado-de.html
Timestamp: 2019-06-20 19:46:10
Document Index: 267391427

Matched Legal Cases: ['artículo 39', 'artículo 39', 'artículo 38', 'artículo 38', 'artículo 36', 'artículo 38', 'artículo 37', 'artículo 37']

Gestores Públicos: Rafael Jiménez Asensio: El Delegado de Protección de Datos en las Administraciones Públicas
Rafael Jiménez Asensio: El Delegado de Protección de Datos en las Administraciones Públicas
"Los datos son el eje de todo y supondrán un desafío para nuestras instituciones e incluso para nuestro sentido de la identidad” (p. 233)
Por Rafael Jiménez Asensio. Blog La Mirada Institucional.- Pretensión de esta entrada.-.Faltan poco más de cuatro meses (el 25 de mayo de 2018) para la plena aplicabilidad del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril (en lo sucesivo RGPD), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Mientras tanto, en paralelo, acaba de comenzar la tramitación en el Congreso de los Diputados del Proyecto de Ley Orgánica de protección de datos de carácter personal (BOCG; Congreso de los Diputados, de 24 de noviembre, núm. 13-1; PLOPD, en lo sucesivo), que adapta (o, al menos, eso pretende) la Ley Orgánica anterior (15/1999, de 13 de diciembre) al nuevo marco normativo establecido en la Unión Europea.
“La rápida evolución tecnológica y la globalización han planteado nuevos retos para la protección de los datos personales. La magnitud de la recogida y del intercambio de datos personales ha aumentado de manera signifi­cativa. La tecnología permite que tanto las empresas privadas como las autoridades públicas utilicen datos personales en una escala sin precedentes a la hora de realizar sus actividades.
El considerando 97 del RGPD deja bien preciso que el DPD es una figura que “ayuda” (colaborador necesario lo podríamos denominar) al responsable o encargado de protección de datos en la aplicación efectiva del Reglamento, debiendo ser aquel “una persona con conocimientos especializados del Derecho y la práctica en materia de protección de datos si el tratamiento lo realiza una autoridad pública” (con excepción del poder judicial). Es una suerte de “delegado de cumplimiento” del RGPD. La relación entre DPD y RGPD es completa
-El DPD, tal como ya se ha dicho, “será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39” (37.5). Por tanto, se deberían acreditar conocimientos especializados, experiencia en la materia y capacidad (competencias efectivas) para desempeñar las funciones asignadas. En el sector público el DPD “debe también poseer un conocimiento sólido de las normas y procedimientos administrativos de la organización” y, entre sus cualidades personales, se deben incluir “la integridad y un nivel elevado de ética profesional” (Directrices sobre delegados de protección de datos 16/ES, WP 243 rev.01). Algo muy importante.
-El RGPD le asigna al DPD unas funciones mínimas (artículo 39) que se proyectan, entre otros ámbitos, sobre la tarea de información y asesoramiento al responsable o encargado de la protección de datos; la supervisión de la normativa aplicable en la materia; ofrecer asesoramiento sobre la evaluación de impacto relativa a la protección de datos; cooperar con la autoridad de control; y, en fin, actuar como punto de contacto con la autoridad de control. El PLOPD incrementa esas funciones con la de actuar como órgano (unipersonal) de reclamación preliminar a la autoridad de control, lo que dota al puesto en el sector público de un inevitable perfil jurídico. De tales funciones se puede apreciar un perfil dual interno/externo, que singulariza su posición en la estructura, así como de un carácter peculiar adicional, sobre todo por ser punto de contacto con la autoridad de control. No tiene parangón en la estructura tradicional de puestos de trabajo en las administraciones públicas. Y así hay que entenderlo.
-El responsable o encargado del tratamiento de datos personales garantizará que el DPD “participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos”. Por tanto, su participación debe ser efectiva, no puede ser orillado nunca en tales procesos de tratamiento de datos (artículo 38.1).
-En consecuencia, en línea con lo anterior, la Administración Pública o el órgano (departamento o entidad) a la que se adscriba el DPD facilitará “los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados” (38.2). En suma, esa dotación de recursos debe ser asimismo efectiva y se le debe proveer (por parte de la Administración) de la formación continua oportuna que le permita ejercer sus funciones en un entorno de permanente cambio y transformación, como es el ámbito de las tecnologías y del tratamiento de datos. Cabría plantearse cuáles son las soluciones ante un obstruccionismo del responsable o encargado del tratamiento de datos: ¿podría acudir a la autoridad de control?; ¿qué mecanismos de reacción se prevén? En principio, hay una anomia legal en este punto
-La nota determinante o existencial de su estatuto jurídico es, sin embargo, la de que se salvaguarde su posición de independencia frente al responsable o encargado de la protección de datos. En efecto, el artículo 38.3 RGPD concreta esa garantía de independencia en los siguientes términos: “El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones”. Se debe preservar su autonomía funcional, por lo que debe quedar extramuros de la línea jerárquica de la organización, transformándose en una suerte de “autoridad independiente individual (o unipersonal)” pero inserta (lo cual es tremendamente singular) en el seno de la estructura administrativa (a la que “asesora”, “aconseja” o “alerta”; pero no debe formar parte de la estructura decisional, pues está exento de responsabilidad). Y, además, el RGPD blinda al titular del cargo frente a ceses discrecionales (al igual que en el modelo de autoridades independientes) y ante la aplicación del régimen sancionador por el ejercicio de sus funciones. Así se regula este blindaje: “No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado”. Si rinde cuentas al máximo nivel es normal que “su posición estructural” esté libre de cualquier dependencia. Estas notas son muy importantes, en efecto, para definir –como se hará inmediatamente- la posición estructural en la organización del DPD. El PLOPD lleva a cabo alguna precisión sobre este tema en su artículo 36.2, y al efecto expone: “Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio”. En qué casos se puede sancionar y por quién, son dos preguntas que también cabe resolver.
-Su dimensión “exógena” se advierte no solo en su papel de “interlocución” con la autoridad de control, sino además porque, según el artículo 38.4 del RGPD los interesados pueden ponerse en contacto con el DPD en relación con el tratamiento de sus datos personales y el ejercicio de sus derechos (¿una suerte de Ombudsman interno en materia de protección de datos?). Esta función se ve acrecentada por lo establecido en el artículo 37 del PLOPD, que transforma ese órgano en una instancia preliminar de reclamaciones en materia de protección de datos antes de que se acuda a la autoridad de control, con el fin, no escondido, de servir de filtro a esta. Una actuación potestativa, pero menos: pues la autoridad de control tiene la obligación de enviarle cualquier tipo de reclamación que se haga per saltum (artículo 37.2 PLOPD), para su previa valoración.
-El DPD, si está internalizado, forma parte de “la plantilla” del responsable o del encargado del tratamiento (hay que entender, por tanto, de la organización o estructura de la Administración Pública o entidad del sector público correspondiente). La opción alternativa, como se ha visto, es externalizar a través de un contrato de servicios; pero habría que dejar muy claro en los pliegos el carácter y naturaleza de tales servicios, el estatuto singular, así como sus dimensiones y funciones.
-La figura del DPD se caracteriza, tal como se ha visto, por su peculiar estatuto, cuya nota dominante es la independencia funcional. Por tanto, esa unidad orgánica o ese puesto de trabajo no puede estar incorporado en la línea jerárquica de ninguna estructura: debe crearse una estructura organizativa ad hoc, singularizada por su no dependencia orgánica ni funcional, pero adscrita desde el punto de vista presupuestario a un departamento o área de actuación. La AEPD considera que debe adscribirse a órganos o unidades de naturaleza “horizontal”, pero eso no es lo determinante (cuestión formal), sino que el aspecto crucial es que el diseño organizativo por el que se adopte salvaguarde plenamente la independencia en su funcionamiento (cuestión material).
-En cualquier caso, el DPD no es una pieza aislada del modelo organizativo, sino que se debe incardinar en el modelo de seguridad de la información de cada entidad pública y formar parte de los órganos que se creen con esa finalidad (con las singularidades que presenta; esto es, como “asesor”, pero no como miembro de pleno derecho). Su inserción en el sistema de seguridad se ha hecho, por ejemplo, la Orden JUS/1293/2107, de 14 de diciembre, sobre política de seguridad de la información en el ámbito de la Administración electrónica (BOE 28 diciembre 2017), o se está trabajando en esa línea en el Ayuntamiento de Sant Feliú de Llobregat, articulando el ENS con la protección de datos en todo lo que afecta a análisis de riesgos, incorporando esa figura a la Comisión de Seguridad de la citada entidad.
La primera tensión (profesionalidad/discrecionalidad) debería resolverse a favor del primer principio, puesto que una “designación discrecional” no cumpliría las exigencias mínimas establecidas por el RGPD. El procedimiento de libre designación, en su formulación tradicional, no encajaría en el espíritu ni finalidad del Reglamento, a pesar de que en este (y en el propio PLOPD se utilice la expresión “designación”: hay que tener en cuenta que se aplica también al sector privado). La única forma de paliar esta limitación estribaría en establecer previamente a la entrada en acción del procedimiento de libre designación (o de libre nombramiento) algún sistema de acreditación de competencias (incluida, en su caso, la certificación) que garantice los conocimientos, experiencia y capacidades necesarios para desarrollar esas funciones. Lo normal es que el sistema de provisión de estos puestos de trabajo recoja esas exigencias de profesionalidad y elimine o acote al máximo la discrecionalidad. La AEPD sugiere, en buena lógica y ante la carencia de perfiles especializados, “desarrollar de forma inmediata una labor de formación de posibles candidatos a ocupar por primera vez los puestos de DPD en todos los niveles de las AAPP”.
Asimismo, también propone “establecer con carácter permanente actividades de formación en protección de datos para empleados públicos que deseen especializarse en la materia y optar eventualmente a ocupar los puestos de DPD”. Son dos medidas sensatas, pero que se deben completar con una visión más amplia: las administraciones públicas deben invertir muchísimos recursos y tiempo en construir nuevos perfiles de puestos de trabajo relacionados con la digitalización y las TIC, así como formar intensivamente a sus empleados públicos en esta línea. La robotización y la inteligencia artificial harán desaparecer muchos puestos de trabajo del sector público (o dejarlos sin funciones), pero asimismo se demandarán otros muchos puestos de perfiles completamente distintos o nuevos y, por lo común, muy tecnificados (vinculados a la gestión de información y datos). La provisión del DPD puede ser un buen banco de pruebas. No estaría mal comenzar por ello y explorar construcción de nuevos perfiles, así como herramientas formativas.
Etiquetas: delegado de protección de datos, protección de datos, Reglamento (UE) 2016/679, RGPD