El Delegado de Protección de Datos es una figura muy relevante, puesto que juega un papel fundamental en la implementación y supervisión de la normativa relacionada. La seguridad de la información es una prioridad para cada vez más organizaciones, tanto públicas como privadas, y, por tanto, protegerla de vulnerabilidades es clave.
Desde WeOk te ofrecemos un artículo sobre el DPO donde explicaremos qué es, sus funciones, requisitos, y cuándo es necesaria su designación.
Qué es un Delegado de Protección de Datos
El Delegado de Protección de Datos o DPD es la persona encargada de supervisar que la normativa relacionada con la seguridad de los datos se cumple de forma correcta en las empresas. Además de esto, se encarga de resolver cualquier duda relacionada con la protección de datos, y sirve como enlace que relaciona la empresa con la Agencia Española de Protección de Datos (AEPD).
Esta figura también recibe el nombre de delegado de privacidad, o data protection officer (DPO).
Algo que debemos mencionar es que las figuras de responsable, encargado, y Delegado de Protección de Datos son diferentes, y las personas que desempeñen el papel de responsable o encargado no pueden ser a la vez DPO, ya que, el DPO es designado por el responsable o el encargado, pero no lleva a cabo el tratamiento de los datos.
Función del Delegado de Protección de Datos
El artículo 39 del Reglamento General de Protección de Datos (RGPD) establece las funciones que el Delegado de Protección de Datos deberá desempeñar, como mínimo. Estas funciones son:
- informar y asesorar al responsable o encargado del tratamiento del RGPD y otras disposiciones legislativas similares.
- supervisar el cumplimiento del RGPD y otras disposiciones de protección de datos.
- ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto de protección de datos y supervisar su aplicación.
- cooperar con la autoridad de control.
- actuar como punto de contacto de la autoridad de control (AEPD) para cuestiones relativas al tratamiento.
Obligación de establecer un Delegado de Protección de Datos
Dentro del RGPD y la Ley Orgánica de Protección de Datos (LOPDGDD) se establecen los casos en los que es obligatorio designar un Delegado de Protección de Datos. A pesar de que no en todas las empresas sea obligatorio, sí que es recomendable en la mayoría de empresas, sobre todo las de mayor tamaño y las que usan grandes cantidades de datos en sus actividades del día a día.
Obligación RGPD
El artículo 37 del RGPD determina los 3 casos en los que el DPO es obligatorio:
- cuando el tratamiento de los datos lo realice una autoridad u organismo público.
- cuando las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que requieran una observación de interesados a gran escala.
- cuando los datos que se vayan a tratar sean datos de categorías especiales y sensibles.
Obligación LOPDGDD
Por su parte, la legislación española establece los casos en los que el DPD es obligatorio, siendo mucho más concretos en los sectores y entidades donde es necesario:
- los colegios profesionales y consejos generales.
- los centros docentes.
- las empresas que exploten redes y presten servicios de comunicaciones electrónicas cuando se traten datos personales a gran escala.
- los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios de servicio.
- las empresas mencionadas en el artículo de la Ley 10/2014, del 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
- las empresas aseguradoras y reaseguradoras.
- las entidades de servicios de inversión.
- los distribuidores y comercializadores de energía eléctrica y gas natural.
- Las empresas responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude.
- las entidades que desarrollen actividades de publicidad y prospección comercial.
- los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
- las empresas que tengan como objetivo la emisión de informes comerciales que puedan referirse a personas físicas.
- los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos.
- las empresas de seguridad privada.
- las federaciones deportivas que traten datos de menores de edad.
Requisitos para ser Delegado de Protección de Datos
En el artículo 37 del RGPD se menciona que el DPO se debe designar teniendo en cuenta sus cualidades profesionales, particularmente sus conocimientos en derecho y protección de datos, y su capacidad para desempeñar las funciones que hemos mencionado anteriormente. A pesar de esto, podemos destacar varios factores que pueden ser de interés para las personas que vayan a desempeñar este puesto.
Certificaciones
La AEPD ha promovido un modelo de certificación del Delegado de Protección de Datos para que las personas que estén interesadas en ejercer el puesto puedan certificar su capacidad para ello. Sin embargo, tener este certificado no es obligatorio para desempeñar el puesto, aunque sí ofrece cierta seguridad.
Conocimientos jurídicos y tecnológicos
Como acabamos de ver, es importante que el Delegado de Protección de Datos cuente con conocimientos en derecho. Además de esto, también es relevante que el delegado esté familiarizado con las nuevas tecnologías y, por supuesto, con la protección de datos.
Experiencia práctica
Aparte de conocimientos teóricos, que la persona que vaya a desempeñar el puesto cuente con experiencia práctica en el puesto es fundamental. La normativa recomienda:
- 5 años de experiencia.
- 3 años de experiencia + 60 horas de formación reconocida.
- 2 años de experiencia + 100 horas de formación reconocida.
- 180 horas de formación reconocida.
Capacidad para ejecutar sus funciones mínimas
Por último, debemos mencionar que los Delegados de Protección de Datos deben tener otras capacidades y cualidades como:
- proactividad.
- independencia para trabajar sin supervisión.
- ética profesional.
- Conocimiento sobre el sector y la empresa.
- conocimiento de diferentes idiomas.
- buena capacidad comunicativa.
- habilidad negociadora.
- trabajo en equipo.
Qué ocurre si no se designa un Delegado de Protección de Datos
En el artículo 73 de la LOPDGDD se establece que no designar un DPD cuando su nombramiento es obligatorio se considera una infracción grave. Como hemos visto en las sanciones de la Ley de protección de datos, la multa podrá estar entre los 40.001 y 300.000 euros, y prescribe a los dos años.
WeOk te asesora sobre el Delegado de Protección de Datos
El Delegado de Protección de Datos se ha convertido en una figura clave en el cumplimiento de la normativa relativa a la seguridad de la información. Su función no solo es la de supervisar que las entidades cumplan con la legislación, sino también fomentar la seguridad para minimizar los riesgos de brechas y sanciones.
Desde WeOk te ofrecemos el asesoramiento que necesitas para designar un buen DPO, de manera que no solo sea una obligación, sino también una oportunidad para mejorar la confianza de tus clientes. Si quieres más información, te recomendamos que visites nuestra entrada sobre la auditoría de protección de datos.
Si tienes dudas, no dudes en consultarnos.
