Javier Puyol Montero - La figura del Delegado de Protección de Datos (DPD)

No obstante, ello, si debe indicarse que los criterios de designación obligatoria si pueden producirse en el responsable del tratamiento, y no en el encargado, o viceversa. Lo importante es que, en quien concurran las circunstancias determinadas en el apartado 1º del artículo 37 del citado Reglamento Comunitario, proceda a dar observancia a la norma mediante la designación de un DPD para su organización. En todo caso, el nombramiento obligatorio de un DPD por parte de un responsable o de un encargado de tratamiento constituyen hechos individualizados, y los mismos deben actuar de forma independiente, y ello, pese a que en un determinado caso, ambos delegados de protección de datos puedan colaborar entre sí, prestándose recíprocamente la ayuda que en cada caso sea precisa para el mejor cumplimiento de la normativa vigente, y la tutela de los derechos de las personas afectadas por los tratamientos que se estén llevando a efecto24.

Es importante matizar que el DPD de un encargado del tratamiento también ejercerá como tal, cuando dicho encargado actúe también en su condición de responsable del tratamiento, procediendo, consecuentemente con ello, a ejercer aquellas funciones que le son propias como tal, y ello con independencia de que en una determina relación dicha organización sea efectivamente un encargado de tratamiento.

3. La designación de un DPD único para varias organizaciones. Los conceptos de “accesibilidad” y “ubicación” en el mismo.

3.1. Introducción.

En el supuesto de que se proceda a la designación de un DPD único para varias organizaciones, se debe tener en consideración lo afirmado en el apartado 2º del artículo 37 del Reglamento (UE) 2016/679, donde se afirma que:

“Un grupo empresarial podrá nombrar un único DPD siempre que sea fácilmente accesible desde cada establecimiento”.

En el análisis de este precepto, en primer término, se debe analizar el concepto de “grupo empresarial”25, que no necesariamente debe coincidir con la existencia de una pluralidad de organizaciones que tengan un DPD en común. Así, dicho concepto de “grupo empresarial” implica “el conjunto de una o más sociedades independientes jurídicamente entre sí, pero que se encuentran bajo un control o subordinación ejercido por una matriz o controlante y sometidas a una dirección unitaria que determina los lineamientos de cada una de ellas”.

Por tanto, debe diferenciarse el concepto de “grupo empresarial”, del hecho de que varias organizaciones independientes, y sin vínculos comunes entre sí, tengan un mismo DPD, aunque el mismo no lo sea en común.

En segundo lugar, debe hacerse referencia a la accesibilidad, y más concretamente, a que el DPD perteneciente a un “grupo empresarial”, “sea fácilmente accesible desde cada establecimiento”. Este concepto debe interpretarse desde una triple perspectiva a considerar:

a) La primera de ellas hace referencia a la vinculación que el DPD ha de tener en relación con los titulares de los datos interesados en cualquier clase de tratamiento que esté llevando a cabo la organización. Con ello, se ha de dar cumplimiento a lo establecido en el Artículo 38, apartado 4 del Reglamento 2016/679, en que se dispone que “los interesados podrán ponerse en contacto con el DPD por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento”.

Este concepto de accesibilidad debe concretarse en la facilidad debe concretarse en la facilidad de acceso que tenga cada interesado a la hora de poder contactar por cualquier tipo de razón, con el DPD de una organización.

Ello supone generar unos canales de comunicación adecuados, accesibles, gratuitos y fáciles de manejar para que dicha comunicación sea lo más fluida posible en cada momento. Estos canales o vías de comunicación entre DPD e interesados deben contar con la publicidad adecuada, de modo y manera que sea de fácil conocimiento para el titular de los datos en cada momento, facilitando con ello dicha comunicación.

b) La segunda de ellas se proyecta sobre la autoridad de control.

Así, se ha de dar cumplimiento en primer término a lo establecido en el Artículo 39, apartado 1, letra e) del Reglamento 2016/679, el cual determina como una de las obligaciones del DPD el “actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto”. Esta obligación se complementa con la establecida en el apartado e) del mismo precepto, que establece como una obligación del DPD, precisamente, la de colaborar con la autoridad de control.

La autoridad de protección de datos debe tener conocimiento fehaciente del nombramiento del DPD llevado a cabo, mediante la comunicación que debe haber llevada a cabo la organización con el mismo, a los efectos de su identificación y constancia. Del mismo modo, y tal como se ha expuesto anteriormente, debe existir un conocimiento suficiente por parte de la autoridad de control del modo en que puede llevarse a cabo la comunicación con dicho DPD, que normalmente será a través de una dirección de correo electrónico, sin perjuicio de la constancia de los datos de identificación de la organización a la cual dicho delegado pertenece.

c) Probablemente la tercera de ellas, y más importante, hace referencia de la accesibilidad del propio conjunto de la organización o grupo empresarial al DPD. En este sentido, el Grupo de Trabajo del Artículo 29 hace referencia al contenido de la letra a), del apartado 1º, del artículo 39 del Reglamento (UE) 2016/679, en el que se señala que “el delegado de protección de datos tendrá como mínimo las siguientes funciones, y entre ellas la de informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros”.

Ello determina de manera necesaria que se articulen los medios precisos dentro del conjunto de la organización para que el desempeño de estas funciones sea posible, y cumpla con las finalidades que normativamente, e internamente dentro del propio grupo empresarial se hayan determinado al efecto. En definitiva, ello significa que debe darse un cumplimiento eficaz a esta obligación del DPD con relación al grupo de empresas a las que tenga que informar o asesorar.

3.2. Otras consideraciones para tener en cuenta.

En el cumplimiento de este requisito genérico de la “accesibilidad”, en función de la estructura y el volumen de la organización, el DPD debe contar con los recursos humanos, económicos, y materiales precisos para el adecuado desempeño de su función como tal.

En este sentido, es responsabilidad de la alta dirección del conjunto de la organización y de cada una de las empresas que la integren el procurar que el DPD tenga los medios adecuados para el ejercicio de su función26.

El DPD debe contar con suficiente tiempo para completar sus actividades. A este respecto, es particularmente importante si el DPD es nombrado a tiempo parcial, compartiendo sus funciones de delegado como un complemento respecto a las propias de su trabajo en la organización, que la organización asegure que el DPD cuenta con suficiente tiempo durante su jornada para realizar las labores de DPD, pues en caso contrario estas pueden ser dadas de lado (para ello, es buena idea establecer un porcentaje de tiempo a destinar a las labores de DPD). El DPD también deberá desarrollar un plan de trabajo donde se recojan las actividades a desarrollar como DPD27.

Por tanto, la facilidad de comunicación constituye un punto de partida excusable para posibilitar la existencia de un único DPD para un grupo empresarial. Ello debe ir unido a percibir elementos a tener en consideración como, por ejemplo, que dicha comunicación pueda tener lugar el idioma o idiomas utilizados por las autoridades de control, la propia organización, y los titulares de los datos afectados por los tratamientos que se estén llevando a cabo.