Source: http://www.habeasdatafinanciero.com/2017/08/el-dpd.html
Timestamp: 2018-03-24 06:31:12
Document Index: 166289305

Matched Legal Cases: ['artículo 38', 'artículo 37', 'artículo 35', 'artículo 65', 'artículo 38', 'Artículo 43']

HÁBEAS DATA FINANCIERO - PROTECCIÓN DE DATOS - PRIVACIDAD : El DPD
El Delegado de Protección de Datos: esquema de certificación, nombramiento, funciones y perfil requerido
Posted: 01 Aug 2017 05:54 AM PDT
Directora de la Agencia Española de Protección de Datos
Por Mar España
El Reglamento General de Protección de Datos (RGPD) de la Unión Europea dispone que los responsables y encargados de tratamiento deben designar un Delegado de Protección de Datos (DPD) en los supuestos que determina el propio RGPD o en los supuestos que la legislación de los Estados Miembros establezca.
Las funciones del DPD
El papel del DPD en las organizaciones es el de informar, asesorar, supervisar y cooperar con la autoridad de control, así como ser el punto de contacto para los interesados. Para desempeñar sus funciones deberá participar en todas las cuestiones relativas a la protección de datos personales recibiendo el apoyo de los responsables y encargados del tratamiento quienes igualmente le facilitarán los recursos necesarios para abordar sus funciones.
El DPD realizará sus funciones con total independencia, sin instrucciones por parte del responsable o del encargado del tratamiento, quienes garantizarán esta independencia evitando su destitución o sanción por sus decisiones relacionadas con el desempeño de su función de DPD. La posición del DPD será próxima a los niveles jerárquicos más elevados dentro de una organización, de manera que aquellos a quienes reporte tengan capacidad de decisión en calidad de responsables o encargados del tratamiento.
En ningún caso el DPD sustituirá al responsable en la toma de decisiones sobre los fines y alcance de los tratamientos ni deberá asumir la carga de las posibles sanciones en las que pudieran incurrir los responsables como consecuencia de tratamientos de datos no acordes con el RGPD.
Posiblemente el DPD sea el eje principal del principio de responsabilidad activa del RGPD. Es la figura encargada de velar por el derecho de protección de datos en las organizaciones e instituciones. En el sector público velará por la compatibilidad del cumplimiento de las obligaciones de una institución frente al derecho de protección de datos de los interesados y en el entorno privado será la figura encargada de compatibilizar el desarrollo de negocio del responsable frente al derecho de protección de datos de los interesados.
Esta nueva figura es clave para garantizar la confianza de los interesados en los tratamientos y en consecuencia debe significarse como elemento fundamental en la relación con los ciudadanos tanto en las actividades del sector público como del sector privado.
Un perfil multidisciplinar
Desde el punto de vista de la cualificación profesional estamos hablando de un perfil multidisciplinar que no se ajusta a una titulación concreta o a un ámbito académico específico. El DPD requerirá conocimientos jurídicos, técnicos y de negocio para realizar sus funciones, que en muchos casos se articularán entorno a un equipo multidisciplinar. Su papel estará orientado a la coordinación de varios profesionales, mientras que en otros casos, su labor podrá ser la de prestar servicio a varios responsables o encargados.
Las formas en las que se formalizará el desempeño de las funciones del DPD en las organizaciones serán tan variadas como variados pueden ser los tratamientos y las organizaciones, no es posible fijar un modelo único en el que enmarcar las funciones del DPD.
El DPD puede realizar sus funciones con plena dedicación o a tiempo parcialdentro de una misma organización compatibilizando sus funciones con otras que le hayan sido encomendadas por el responsable del tratamiento. En este caso, se prestará especial atención a la posible existencia de conflicto de intereses entre el desempeño de las funciones que pudieran compatibilizarse con el desempeño de su papel como DPD (artículo 38.6 RGPD). Antes de proceder al nombramiento del DPD es conveniente realizar un análisis de los posibles conflictos de intereses que pudieran existir entre las distintas tareas que se espera que realice el posible DPD dentro de una organización.
Nombramiento y certificación del DPD
Además de los supuestos obligatorios para la designación de un DPO previstos en el artículo 37.1 del RGPD y detallados en el artículo 35 del Anteproyecto de LOPD, los responsables y encargados podrán voluntariamente designar un DPO y potenciar el cumplimiento preventivo de sus obligaciones a través de esta figura.
Es importante tener en cuenta que el artículo 65.4 del citado Anteproyecto prevé la posibilidad de que la Agencia remita las reclamaciones al DPO a los efectos previstos en el artículo 38, con el objeto de impulsar la resolución amistosa en el seno de la entidad a través de esta figura clave.
Los responsables y encargados del tratamiento se ven ante el reto y la necesidad de elegir y nombrar con diligencia sus DPD, valorando el nivel de conocimiento, la cualificación profesional y su capacidad para el desempeño de tareas y actividades que implica el cumplimiento de las obligaciones del RGPD. Esta evaluación de cualidades puede suponer un grado de incertidumbre para los responsables en aquellos casos en los que no existe un conocimiento previo del profesional.
El RGPD otorga a los estados miembro, las autoridades de control, al Comité y a la Comisión la posibilidad de crear mecanismos de certificación en protección de datos, aunque no específicamente en el terreno de las cualificaciones profesionales.
Sin embargo, desde la AEPD entendimos el factor de la certificación del DPD como prioritario, de forma que pueda ser un elemento orientador para los responsables a la hora de elegir al DPD. No se trata de establecer un requisito de obligado cumplimiento. Se trata de elaborar un marco de referencia para los responsables y la exigencia o no del requisito de certificación es una opción para el responsable. En ningún caso la certificación será una limitación para el acceso a la profesión de DPD, existen profesionales cualificados para el desempeño de esta profesión con conocimientos y experiencia demostrados que podrán seguir ejerciendo su labor profesional y en el futuro podrá haber otras vías para que los profesionales puedan demostrar su preparación.
La AEPD ha optado por promover un sistema de certificación de profesionales de protección de datos como una herramienta útil a la hora de evaluar que los candidatos a ocupar el puesto de DPD reúnen las cualificaciones profesionales y los conocimientos requeridos. Este esquema de certificación para DPD de la AEPD se estructura en tres partes distintas: la AEPD como propietaria y responsable del esquema, la entidad de acreditación encargada de los requisitos que deben cumplir los certificadores (ENAC) y finalmente las propias entidades de certificación. Desde la AEPD entendemos que esta división en tres partes con funciones independientes es un factor de calidad para el proceso de certificación. Tres entidades distintas con funciones y responsabilidades independientes que establecen una relación de confianza y mutua responsabilidad.
El esquema de certificación contempla todos los ámbitos de cumplimiento del RGPD, incluyendo aspectos como por ejemplo:
Control del cumplimiento por parte del responsable: se ha realizado un exhaustivo detalle de tareas relacionadas con los principios de los tratamientos teniendo en cuenta aspectos como los principios, las bases jurídicas, el principio de información y los derechos de los interesados.
Enfoque de riesgo: incluyendo aspectos relacionados con las evaluaciones de impacto, el análisis y la gestión del riesgo.
Obligaciones del responsable: se ha tenido en cuenta el papel del DPD en la elaboración y mantenimiento del Registro de actividades de tratamiento, sus funciones a la hora de determinar las medidas de seguridad técnicas y organizativas, su implicación en la comunicación de violaciones de seguridad, los factores a tener en cuenta para implantar la protección de datos desde el diseño y por defecto, las funciones de auditoría que deben realizar los responsables, etc.
Tratamientos transfronterizos: se ha desarrollado una lista detallada de las acciones en las que el DPD podría estar implicado con el objeto de asegurar la legitimidad de los tratamientos transfronterizos.
Códigos de conducta y certificación: el esquema de certificación tiene en cuenta la implicación del DPD en la elaboración de códigos de conducta y certificación que puedan ser asumidos por los responsables y encargados.
Cooperación con la autoridad de control: este es otro de los aspectos claves que han sido incluidos en la elaboración de este esquema de certificación, desde la AEPD entendemos que este es uno de los factores a tener en cuenta para ayudar a garantizar el derecho a la protección de datos.
Además de las cuestiones técnicas o jurídicas, el esquema de certificación tiene en cuentaotras cuestiones claves para el desempeño de las funciones del DPD. Algunas de estas funciones están relacionadas con las relaciones que deberá establecer el DPD en el desempeño de su actividad dentro de una organización, actividades relacionadas congarantizar la buena relación del DPD con los equipos y grupos de trabajo en los que estará implicado. Uno de los aspectos más importantes en el desempeño de las funciones del DPD son sus relaciones y capacidades de negociación para atender y balancear los derechos de los interesados frente a los intereses de negocio de los responsables. Estamos hablando de habilidades personales y características menos tangibles que finalmente harán que el desempeño de las funciones del DPD sean útiles a los responsables y que al mismo tiempo impidan que dichas funciones puedan convertirse en un obstáculo al funcionamiento de la organización.
Desde la AEPD esperamos que este marco de referencia pueda ser de utilidad tanto a los responsables y encargados como a los propios DPD, aportando una relación detallada de tareas y competencias en las que basar sus actividades con relación a los tratamientos.
Publicado por Matilde S. Martínez en 16:34:00
Etiquetas: f. El DPD
a. Artículo 43 de la Constitución Nacional (1) b. Ley 25.326: LPDP (1) c. Decreto 1558/2001 (1) c. Disposición 24/2010. Registro documentos de identidad cuestionados (1) c. Disposición DNPDP 10/2015. (1) c. Ley 14.214 hábeas data PBA (1) c. Ley 1845-LPDP-CABA (1) c. Ley 26.951. "No llame" (1) c. Resolución Conj. 6- E/2016. Registro comunicaciones móviles (1) c.Decreto 1160/2010. Protección de datos (1) d. Fallo CSJN: Napoli c.Citibank s/hábeas data-Comentado (1) d. Fallo CSJN: Veraz c. Estado Nac. (1) d. Fallo CSJN: Yas D. c. Citibank N.A. (1) d.Fallo CSJN: Lascano Quintana c. Veraz (1) d.Fallo CSJN: Martínez Matilde c.Veraz s/hábeas data (1) d.Fallo CSJN: Di Nunzio c. Bank Boston (1) d.Fallo CSJN: R.P.R.D. c. E.N. Sec. Int. Estado (1) e. A.C.D. c. Banco de Galicia s. daños y perj. (1) e. Fallo CCAF. Sala II. C.C.G. c. Reg. Reincidencia s/hábeas data (1) e. Fallo CCyC.Sala III. M. del Plata: Matera c. BBVA (1) e. Fallo CCyCC. Tucumán. A.A.M. c.Banco Columbia y otro s/hábeas data (1) e. Fallo CCyCC.Sala III.Tucumán. M.N.A. c. HSBC Bank (1) e. Fallo CCyCC.Tucumán: P.M.A. c.Fideicomiso Financiero BH2 s/hábeas data (1) e. Fallo CCyCF.Sala I: A.C.L. c. Org. Veraz s. hábeas data (1) e. Fallo CNAC (1) e. Fallo CNAC.Sala D: GFR c/Frávega y otros (1) e. Fallo CNAC: Dimarco c. Bansud-indemnización por daños (1) e. Fallo CNAC: Hilbert c. BPBA s/ daños y perjuicios (1) e. Fallo CNACom (1) e. Fallo CNCAF: García Sigal c. BCRA (1) e. Fallo CNCm: Bunker c.IBM (1) e. Fallo CNCom: Cusanelli c. BBVA-comentado (1) e. Fallo CNCom: Estigarribio c. Bank Boston -comentado (1) e. Fallo JCC.Mar del Plata. A.V.C. c.Banco de Galicia y B.A. (1) e. Fallo Juz. Inst. R.N.-M. Lozada. L. A. S/HÁBEAS DATA (1) e. Fallo Juzgado Federal de Rawson: xxx c.Google s. medida autosatisfactiva (1) e. Fallo Tribunal Jujuy: L.C.G.A. c. Standard Bank y otro s/hábeas data (1) e. Fallo: Datos erróneos. Órgano Defensa del Consumidor. Daño moral. Daño punitivo (1) e. Sentencia del TJUE. Costeja Gonzáles. derecho al olvido (1) e.Fallo CCC.Sala III.Tucumán: M.R.A. c.Bco. Hipotecario s/hábeas data (1) e.Fallo CCyCF.Sala II: D.M.P.c/Estado Nacional s/hábeas data (1) e.Fallo CNCm: Torri c. Bank Boston (1) e.Fallo CNCom: R.H.E. c. Banco Itau B.Ayre (1) e.Fallo Corte Suprema Justicia de Tucumán. A.P.A. v. Banco Columbia s/sumarísimo (1) f. AURA (1) f. Aborto (1) f. Agencia de acceso (1) f. Anteproyecto de ley en España (1) f. Anteproyecto ley de protección de datos personales (1) f. Asistencia a víctimas de robo de identidad (1) f. Blanqueo legal de deudores (1) f. Buscadores de Internet: responsabilidad y cancelación (1) f. Cesión de Créditos- Fideicomisos (1) f. Cesión de datos ANSES (1) f. Con vos en la Web (1) f. Control bases de datos (1) f. DPD (1) f. DPO (1) f. Datos en Iberoamérica (1) f. Datos en la nube (1) f. Decisión 2010/87/Unión Europea del 5/2/2010 (1) f. Declaración de Barranquilla (1) f. Declaración de Buenos Aires (1) f. Declaración de La Plata (1) f. Declaración de Panamá (1) f. Declaración de Riobamba (1) f. Declaración de Santiago (1) f. Delegado de Protección de Datos (1) f. Derecho a la protección de datos sobre salud (1) f. Derecho al olvido- caducidad de los datos (1) f. Deudor moroso (1) f. Diputados dio media sanción a la ley de mediación obligatoria (1) f. El DPD (1) f. Equifax (1) f. Estándares Internacionales sobre Protección de Datos y Privacidad (1) f. Gestión de datos personales (1) f. H. D. contra ART (1) f. Identidad digital y derecho al olvido (1) f. Informe de la CIDH 31/12/2009 (1) f. La arbitrariedad o ilegalidad manifiesta. (1) f. Latinoámerica sigue los pasos de España (1) f. Ley de Comunicaciones de EE.UU (1) f. Los bancos no pueden informar si no son acreedores del deudor (1) f. Los cambios que vienen (1) f. Me veraz indemnizar (1) f. Monotributo (1) f. Morosos (1) f. Multa (1) f. Multa Whatsapp y Facebook (1) f. Nueva propuesta Europea. Entorno digital. Realidad Argentina (1) f. Premio accésit en la AEPD (1) f. Premio de Agencia Vasca (1) f. Principios de privacidad (1) f. Privacidad en riesgo (1) f. Protección de datos personales en el Parlamento Europeo (1) f. Protección en redes sociales (1) f. Prólogo al libro Hábeas Data Financiero por Guillermo F. Peyrano (1) f. Puntos claves. Colombia (1) f. RGPD (1) f. Rechazo in límine o no tanto (1) f. Robo de datos (1) f. Seguridad de los datos (1) f. Seguridad por diseño (1) f. Sentencia TC-0484 R. Dominicana (1) f. Skimming (1) f. Sobre la propuesta de reforma de la ley 25.326 (1) f. Uruguay reconocido por la U.E. (1) f. WiFi "gratis" en BA (1) f. caducidad del dato negativo (1) f. datos de WhatsApp (1) f. los datos no valen tanto (1) f. proceso constitucional hábeas data en Venezuela (1)