Javier Puyol Montero - La figura del Delegado de Protección de Datos (DPD)

Dado que la comunicación se dirige a la entidad, tenga en cuenta que para acceder a Carpeta Ciudadana deberá hacerlo con un certificado de representación, puesto que si utilizase un certificado de persona física lo que estaría viendo es la Carpeta Ciudadana de esa persona y las notificaciones dirigidas a esa persona. Para ver la comunicación deberá seleccionar la pestaña Comunicaciones ya que Carpeta Ciudadana muestra la pestaña de Notificaciones por defecto.

Tanto las notificaciones como las comunicaciones estarán disponibles por un plazo de 10 días naturales, dándose por notificadas tanto si se accede a su lectura, si se rechaza o si transcurre el citado plazo sin haber accedido a la notificación, de conformidad con lo establecido en el artículo 43.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

A los efectos del desarrollo adecuado del proceso de comunicación de datos del DPD, debe tenerse en cuenta las indicaciones establecidas por la propia Agencia Española de Protección de Datos, en su “Guía rápida de comunicación del DPD”38. Tal como se señala en la misma, el formulario de comunicación del DPD establecido por la AEPD es un formulario web compuesto por varias pantallas, que permite la comunicación de altas de Delegados de Protección de Datos, así como la modificación o supresión de los datos de Delegados de Protección de Datos ya inscritos.

En las altas, tras la identificación de quien realiza la comunicación, se deberán cumplimentar los datos del DPD, datos de la entidad o entidades para las cuales ha sido designado, se podrá adjuntar documentación y finalmente deberá confirmar y enviar.

Se pueden indicar hasta un máximo de 10 entidades para las cuales ha sido designado el DPD comunicado.

En modificaciones y supresiones, tras la identificación de quien realiza la comunicación, se deberá especificar la entidad sobre la cual se quiere realizar la operación y, en el caso de modificaciones, introducir a continuación los nuevos datos.

El anexado de documentación y el envío funciona igual que en las altas.

La comunicación sólo puede presentarse por medios electrónicos, ya sea utilizando un certificado digital o el DNI electrónico, o bien mediante las claves concertadas que admite la plataforma Cl@ve1:

Cl@ve ocasional (Cl@ve PIN): sistema de contraseña de validez muy limitada en el tiempo, orientado a usuarios que acceden esporádicamente a los servicios, que se corresponde con el sistema PIN24H de la AEAT.

Cl@ve permanente: sistema de contraseña de validez duradera en el tiempo, pero no ilimitada, orientado a usuarios habituales. Se corresponde con el sistema de acceso mediante usuario y contraseña, reforzado con claves de un solo uso por SMS, a los servicios de la Seguridad Social.

Para la presentación de las comunicaciones deberá tener en cuenta:

a) O bien poseer un certificado electrónico emitido por una Autoridad de Certificación. En el siguiente enlace encontrará información acerca de los certificados digitales admitidos y de las Autoridades de Certificación que los emiten: 2

https://firmaelectronica.gob.es/Home/Ciudadanos/Certificados-Electronicos.html

b) O bien acceder mediante el uso de claves concertadas que permite el sistema Cl@ve.

c) Tener instalado el programa Auto firma. Puede descargarse e instalar la aplicación Auto firma desde la web de la Administración dedicada a la firma electrónica:

http://firmaelectronica.gob.es/Home/Descargas.html

Con el fin de dar cumplimiento a lo señalado en el artículo 34.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que establece que “La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos”, se encuentra disponible en la Sede Electrónica de la AEPD la consulta de la lista de Delegados de Protección de Datos comunicados a la Agencia Española de Protección de Datos. Consiguientemente con ello, se puede acceder a ella a través del siguiente enlace:

https://sedeagpd.gob.es/sede-electronica-web/vistas/infoSede/consultaDPD.jsf.

17En este sentido, vid el artículos 88de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

18Cfr.: WP 243. Directrices sobre los delegados de protección de datos (DELEGADO DE PROTECCIÓN DE DATOS). Obra citada.

19Como ejemplos de lo que se considera tratamiento a gran escala, el Grupo de Trabajo del Artículo 29, cita los siguientes:

a). El tratamiento de datos de pacientes en el desarrollo normal de la actividad de un hospital; el tratamiento de datos de desplazamiento de las personas que utilizan el sistema de transporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte).

b). El tratamiento de datos de geolocalización en tiempo real de clientes de una cadena internacional de comida rápida con fines estadísticos por parte de un responsable del tratamiento especializado en la prestación de estos servicios.

c). El tratamiento de datos de clientes en el desarrollo normal de la actividad de una compañía de seguros o de un banco;

d). El tratamiento de datos personales para publicidad comportamental por un motor de búsqueda.

e). El tratamiento de datos (contenido, tráfico, ubicación) por proveedores de servicios de telefonía o internet.

Por el contrario, como supuestos que no constituyen tratamientos a gran escala, cita dicho Grupo de Trabajo los siguientes:

a). El tratamiento de datos de pacientes por parte de un solo médico;

b). El tratamiento de datos personales relativos a condenas e infracciones penales por parte de un abogado.

20Cfr.: INCIBE. “DELEGADO DE PROTECCIÓN DE DATOS, DPD, el Delegado de Privacidad”. 10 de julio de 2018

https://www.incibe.es/protege-tu-empresa/blog/delegadodeproteccióndedatos-o-DPD-el-delegado-privacidad

21De acuerdo con el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito, son entidades de crédito las que se indica seguidamente:

“1. Son entidades de crédito las empresas autorizadas cuya actividad consiste en recibir del público depósitos u otros fondos reembolsables y en conceder créditos por cuenta propia.

2. Tienen la consideración de entidades de crédito:

a) Los bancos.

b) Las cajas de ahorros.

c) Las cooperativas de crédito.

d) El Instituto de Crédito Oficial”.

22Cfr.: Grupo de Trabajo del Artículo 29. Opinion 1/2010 on the concepts of “controller” and “processor”. WP 169 de 16 de febrero de 2010.

https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf

Cfr.: Concepto de Encargado de Tratamiento. Guía Jurídica. Wolters Kluwer

http://guiasjuridicas.wolterskluwer.es/Content/Documento.aspx?params=H4sIAAAAAAAEAMtMSbF1jTAAAkNjE0MDC7Wy1KLizPw8WyMDQwsDU0MzkEBmWqVLfnJIZUGqbVpiTnEqAPVySh41AAAAWKE

23El citado apartado 1º del artículo 37 del Reglamento (UE) 2016/679, comienza señalando, a tales efectos lo siguiente:

“El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que: …”, de donde se deduce que las normas de nombramiento obligatorio del delegado de protección de datos son comunes para ambos operadores jurídicos.

24El Grupo de Trabajo del artículo 29, ha puesto como ejemplos de esta situación los que se describen a continuación:

a). Una pequeña empresa familiar que se dedica a la distribución de electrodomésticos en una única ciudad utiliza los servicios de un responsable del tratamiento cuya actividad principal es prestar servicios de análisis web y asistencia en materia de publicidad dirigida y mercadotecnia. Las actividades de la empresa familiar y sus clientes no generan un tratamiento de datos «a gran escala», teniendo en cuenta el reducido número de clientes y las actividades relativamente limitadas. No obstante, las actividades del responsable del tratamiento, que tiene muchos clientes como esta pequeña empresa, tomadas en su conjunto, constituyen un tratamiento a gran escala. El responsable del tratamiento deberá, por tanto, designar un DELEGADO DE PROTECCIÓN DE DATOS, de conformidad con el artículo 37, apartado 1, letra b). Al mismo tiempo, la empresa familiar no está sujeta a la obligación de designar un DELEGADO DE PROTECCIÓN DE DATOS.