Según el RGPD existe la obligación de designar a un Delegado de Protección De Datos (DPD) en tres supuestos:
- Si el tratamiento de los datos corre a cargo de una autoridad u organismo público.
- Si las actividades y operaciones principales del responsable de datos exigen seguimiento regular y sistemático a gran escala.
- Si las actividades y operaciones principales del responsable requieren tratamientos a gran escala de datos personales que tienen que ver con delitos y condenas.
Este punto del Reglamento europeo había creado mucha confusión ya que no quedada claro, sobre todo por lo impreciso de los puntos 2 y 3, cuándo sí y cuándo no era obligatorio tener un DPD.
La nueva Ley española se ha curado en salud y establece hasta 16 casos concretos en los que, de manera taxativa, se exige su existencia.
Entre otros: colegios profesionales, centros de enseñanza, establecimientos financieros de créditos, aseguradoras, empresas de servicios de inversión…
Los Delegados tienen que ser conocidos por la Agencia de Protección de Datos Española y/ o, en su caso, las autoridades autonómicas de protección de datos. Ambos organismos están obligados a tener una lista actualizada de esos delegados.
Que, a su vez, están obligados a poseer una titulación universitaria que acredite los conocimientos especializados en el derecho y la práctica en materia de protección de datos.
El Delegado de Protección de Datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos.
Y podrá inspeccionar los procedimientos relacionados con el tratamiento y
conservación de la información sensible. Además, está habilitado para emitir recomendaciones en el ámbito de sus competencias.
1. Definición y funciones del Delegado de Protección de Datos
El Delegado de Protección de Datos es un profesional que se encarga de supervisar el cumplimiento de las normativas de protección de datos dentro de una organización. Actúa como punto de contacto entre la organización, los interesados (titulares de los datos) y la Agencia Española de Protección de Datos (AEPD).
Funciones del DPD (art. 39 del RGPD y LOPDGDD)
Entre las funciones más destacadas del Delegado de Protección de Datos se encuentran:
- Supervisar el cumplimiento de la normativa de protección de datos y las políticas internas de la organización.
- Asesorar al responsable o encargado del tratamiento, así como a los empleados, sobre sus obligaciones en materia de protección de datos.
- Vigilar la correcta aplicación de las evaluaciones de impacto sobre la protección de datos (EIPD), especialmente en operaciones de tratamiento de alto riesgo.
- Cooperar y actuar como punto de contacto con la AEPD y facilitarle cualquier información que necesite.
- Atender consultas de los interesados sobre el ejercicio de sus derechos (acceso, rectificación, supresión, etc.).
- Sensibilización y formación del personal que participa en las operaciones de tratamiento de datos.
2. Designación del Delegado de Protección de Datos (art. 37 del RGPD y art. 34 de la LOPDGDD)
No todas las organizaciones están obligadas a nombrar un DPD. Según el artículo 37 del RGPD y el artículo 34 de la LOPDGDD, su designación es obligatoria en los siguientes casos:
- Autoridades y organismos públicos: Excepto los tribunales en el ejercicio de su función judicial.
- Entidades cuyo núcleo de actividad implique operaciones de tratamiento de datos que requieran observación habitual y sistemática de los interesados a gran escala.
- Tratamiento a gran escala de datos sensibles o de categorías especiales (como datos de salud, biométricos, opiniones políticas, entre otros).
- Empresas del sector privado que, en función de su actividad, manejen datos personales de forma habitual y masiva.
Adicionalmente, incluso si una organización no está obligada a designar un DPD, puede hacerlo de manera voluntaria.
3. Requisitos y cualificación del Delegado de Protección de Datos (art. 35 de la LOPDGDD)
El DPD no requiere una titulación específica, pero la LOPDGDD establece que debe contar con los conocimientos especializados en derecho y en la práctica de la protección de datos. Además, debe tener la capacidad para llevar a cabo sus funciones y un nivel adecuado de conocimientos técnicos relacionados con la protección de datos personales.
4. Posición del DPD dentro de la organización
El Delegado de Protección de Datos debe actuar con independencia y autonomía. El responsable del tratamiento debe garantizar que el DPD:
- No reciba instrucciones en cuanto al ejercicio de sus funciones.
- Informe directamente a la alta dirección de la organización.
- No sea destituido ni sancionado por el desempeño de sus funciones.
5. Confidencialidad y secreto profesional
El Delegado de Protección de Datos está sujeto a un deber de confidencialidad y secreto profesional en relación con las tareas que realiza. Esto garantiza que la información que maneje en el desempeño de sus funciones no sea divulgada de manera inapropiada.
6. Comunicación del nombramiento a la AEPD
El responsable del tratamiento o el encargado debe notificar a la Agencia Española de Protección de Datos (AEPD) la designación del Delegado de Protección de Datos. Esta notificación es fundamental para que la AEPD pueda conocer a los interlocutores de protección de datos en las organizaciones.
7. DPD interno o externo
La normativa permite que el Delegado de Protección de Datos sea:
- Interno: Un empleado de la propia organización que compagina el rol de DPD con otras funciones, siempre que no haya conflicto de intereses.
- Externo: Un profesional o entidad externa contratada para asumir las funciones de DPD.
8. Responsabilidad del DPD
El Delegado de Protección de Datos no es responsable directamente de las infracciones de protección de datos que cometa la organización. Su papel es de supervisión y asesoramiento, pero la responsabilidad recae en el responsable o encargado del tratamiento de los datos.
9. Sanciones por la no designación del DPD
La falta de designación de un DPD cuando sea obligatorio puede conllevar sanciones para la organización, que pueden variar desde amonestaciones hasta multas administrativas, dependiendo de la gravedad de la infracción.