En esta entrada vamos a tratar una de las obligaciones formales que se impone a los responsables del tratamiento (y encargados) en el RGPD y la LOPDGDD.<\/p>\n
<\/p>\n
El DPD (delegado de protecci\u00f3n de datos) o DPO por sus siglas en ingl\u00e9s -data protection officer- es una figura que viene a configurarse como un encargado experto en el cumplimiento normativo en materia de privacidad con formaci\u00f3n en derecho, y por lo general con conocimientos de tecnolog\u00eda y especializaci\u00f3n en el tratamiento de datos de car\u00e1cter personal y sus riesgos.
\nEl delegado de protecci\u00f3n de datos aparece regulado en el Reglamento UE\/2016\/679 -art\u00edculos 37 y ss. Una de las caracter\u00edsticas que m\u00e1s llamar\u00e1 la atenci\u00f3n es su posicionamiento en el seno interno de la compa\u00f1\u00eda -en caso de ser interno-, o la importancia de su papel al relacionarse con el cliente cuando es externo. As\u00ed las cosas, el DPD se define como un enlace directo entre el m\u00e1s alto \u00f3rgano de administraci\u00f3n de la empresa y los managers de \u00e1reas.<\/p>\n
<\/p>\n
<\/p>\n
En el Reglamento se establece que como m\u00ednimo un DPD<\/strong> deber\u00e1 de realizar:<\/p>\n \ud83d\udcccAsesoramiento experto en materia de protecci\u00f3n de datos en la gesti\u00f3n de una serie de tareas espec\u00edficas, tales como la creaci\u00f3n de registros de actividades de tratamiento; evaluaciones de impacto iniciales, consultas previas, etc.<\/p>\n \ud83d\udccc Supervisar el cumplimiento de las obligaciones en materia de privacidad.<\/p>\n \ud83d\udccc Cooperaci\u00f3n como enlace entre el responsable de tratamiento y la autoridad de control (Agencia Espa\u00f1ola de Protecci\u00f3n de Datos).<\/p>\n \ud83d\udccc Servir de punto de contacto, tanto para los organismos responsables, como para los ciudadanos afectados.<\/p>\n <\/p>\n <\/p>\n Como se ha apuntado, queda establecido en el nuevo Reglamento que, el DPD podr\u00e1 ser externo o interno a la plantilla de la compa\u00f1\u00eda o la empresa, de forma que las funciones o servicios de este tipo de figuras podr\u00e1n desarrollarse tambi\u00e9n de una forma externa por empresas especializadas en privacidad y protecci\u00f3n de datos.<\/p>\n Sin embargo, independientemente de que el DPD sea un empleado m\u00e1s o un servicio externalizado, deber\u00e1 de cumplir con sus funciones y obligaciones con total independencia y el responsable de tratamiento deber\u00e1 de asegurar la posici\u00f3n del DPD en todo momento.<\/p>\n En referencia a la obligaci\u00f3n de designar un DPD espec\u00edfico para una empresa, grupo de empresas o administraci\u00f3n p\u00fablica -con independencia de que sea este interno o externo, uno o varios- \u00e9sta deber\u00e1 de ser cumplida siempre que:<\/p>\n <\/p>\n \ud83d\udc49 El tratamiento de datos personales sea llevado a cabo por una autoridad u organismo p\u00fablico, sin inclusi\u00f3n de las autoridades judiciales.<\/p>\n \ud83d\udc49 Las actividades de tratamiento realizadas del responsable se refieran a seguimiento frecuente y repetitivo de personas mediante un m\u00e9todo de organizaci\u00f3n, clasificaci\u00f3n u ordenaci\u00f3n de sus datos (p.ej. ETT, marketing directo, Apps\u2026).<\/p>\n \ud83d\udc49 Se realice un tratamiento de datos a gran escala (gran cantidad de datos y\/o un elevado n\u00famero de personas afectado por dicho tratamiento), de categor\u00edas especiales de datos, es decir, datos gen\u00e9ticos o biom\u00e9tricos que permitan la identificaci\u00f3n un\u00edvoca de una persona, datos relativos a la salud o a la vida y orientaci\u00f3n sexuales, origen \u00e9tnico o racial, opiniones pol\u00edticas, convicciones religiosas o filos\u00f3ficas, afiliaci\u00f3n sindical, etc. o datos relativos a condenas e infracciones penales (p.ej. cl\u00ednicas de salud, sindicatos, partidos pol\u00edticos, iglesias, gestor\u00edas, despachos de abogados, asesor\u00edas\u2026).<\/p>\n Como se recoge en el propio RGPD, la LOPDGDD desarrolla y establece m\u00e1s casos en los que la designaci\u00f3n de un DPD es obligatoria, entre estos podemos encontrar que deben designar DPD:<\/p>\n \ud83d\udc49 las entidades que exploten redes y presten servicios de comunicaciones electr\u00f3nicas conforme a lo dispuesto en su legislaci\u00f3n espec\u00edfica, cuando traten habitual y sistem\u00e1ticamente datos personales a gran escala.<\/p>\n \ud83d\udc49 los prestadores de servicios de la sociedad de la informaci\u00f3n cuando elaboren a gran escala perfiles de los usuarios del servicio.<\/p>\n \ud83d\udc49 los establecimientos financieros de cr\u00e9dito.<\/p>\n \ud83d\udc49 las entidades aseguradoras y reaseguradoras.<\/p>\n \ud83d\udc49 las empresas de servicios de inversi\u00f3n, reguladas por la legislaci\u00f3n del Mercado de Valores.<\/p>\n \ud83d\udc49 las entidades que desarrollen actividades de publicidad y prospecci\u00f3n comercial, incluyendo las de investigaci\u00f3n comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboraci\u00f3n de perfiles de los mismos.<\/p>\n <\/p>\n <\/p>\n Si bien puede ser dif\u00edcil imaginar supuestos en los que una PYME se encuentre en los tres supuestos anteriores, se recomienda siempre su designaci\u00f3n, dada la:<\/p>\n \ud83d\udccc Complejidad legal creciente de los tratamientos de datos personales (p.e. transferencias internacionales).<\/p>\n \ud83d\udccc Mayor concienciaci\u00f3n de los interesados sobre sus derechos y c\u00f3mo proteger sus datos personales. La probabilidad de recibir reclamaciones y solicitudes de ejercicio de los derechos de los interesados ir\u00e1 en aumento.<\/p>\n \ud83d\udccc La protecci\u00f3n de la privacidad de los clientes como un valor a\u00f1adido.<\/p>\n \ud83d\udccc Las sanciones que pueden recaer sobre la empresa en caso de incumplimiento.<\/p>\n <\/p>\n <\/p>\n No. Adem\u00e1s de nombra un DPD interno o externo, los responsables que se encuentren en uno de los supuestos antes descritos deber\u00e1n de comunicarlo a la AEPD (art\u00edculo 39.3 LOPDGDD). Asimismo, estos responsables, no s\u00f3lo tendr\u00e1 que comunicar el nombramiento del mismo, sino que deber\u00e1n de notificar otros nombramientos o los ceses que se produzcan en relaci\u00f3n con la figura del DPD.<\/p>\n Por otro lado, y ya para concluir, ha de tenerse en cuenta que la designaci\u00f3n y comunicaci\u00f3n a la AEPD no es el \u00fanico de los requisitos que debe cumplirse, ya que atendiendo a los art\u00edculos 13 y 14 sobre el derecho a la informaci\u00f3n de los interesados (com\u00fanmente conocido como deber de informar) deber\u00e1n de publicarse en los medios online, o incluirse en todo apartado informativo sobre los tratamientos de datos, los datos de contacto de dicho DPD con el fin de que los afectados puedan ponerse directamente en contacto con \u00e9ste.<\/p>\n As\u00ed las cosas, se recomienda cautela a la hora de nombrar o no a un DPD, puesto que como hemos visto ha de analizarse con lupa si nos encontramos o no ante uno de los supuestos contemplados en la legislaci\u00f3n, y deber\u00e1 de informarse tanto a la AEPD como a los interesados la designaci\u00f3n y datos de contacto del mismo.<\/p>\n <\/p>\n Pablo Viedma<\/strong><\/p>\n Tech & Privacy<\/strong><\/p>\n En esta entrada vamos a tratar una de las obligaciones formales que se impone a los responsables del tratamiento (y encargados) en el RGPD y la LOPDGDD. Conceptualizaci\u00f3n El DPD (delegado de protecci\u00f3n de datos) o DPO por sus siglas en ingl\u00e9s -data protection officer- es una figura que viene a configurarse como un […]<\/p>\n","protected":false},"author":1,"featured_media":11676,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[75],"tags":[],"class_list":["post-4264","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tech-privacy"],"_links":{"self":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/posts\/4264","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/comments?post=4264"}],"version-history":[{"count":0,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/posts\/4264\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/media\/11676"}],"wp:attachment":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/media?parent=4264"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/categories?post=4264"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/tags?post=4264"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Casos de obligatoria designaci\u00f3n<\/span><\/strong><\/h2>\n
Recomendaci\u00f3n<\/span><\/strong><\/h2>\n
\u00bfEs suficiente con designar al delegado de protecci\u00f3n de datos?<\/span><\/strong><\/h2>\n