Javier Puyol Montero - La figura del Delegado de Protección de Datos (DPD)

Las empresas están obligadas a contratar los servicios de un DPD deben realizar un seguimiento regular, es decir continuado y recurrente, y sistemático, o lo que es lo mismo, preestablecido, organizado y metódico, como parte fundamental de una estrategia. Este seguimiento no se refiere exclusivamente al tratamiento online de los datos sino a todas las empresas que realicen seguimiento y tratamiento de datos con independencia de los mecanismos para ello13.

En este sentido, es importante que cada organización proceda a efectuar un nombramiento formal de la figura del DPD, y que en dicho nombramiento se determine un plazo mínimo de vigencia del nombramiento del mismo, y, en paralelo que se proceda definir las causas jurídicas de manera predeterminada, que puedan conllevar la revocación de dicho nombramiento, y consecuentemente, el relevo en el ejercicio de sus funciones.

Con relación a la configuración del DPD, como un cargo externo a la organización del responsable del tratamiento, la Agencia Española de Protección de Datos ha señalado que, la función del DPD puede ejercerse también en el marco de un contrato de servicios suscrito con una persona física o con una entidad ajena a la organización del responsable o del encargado del tratamiento.

En este último caso, es fundamental que cada miembro de la organización que ejerza las funciones de un DPD cumpla todos los requisitos aplicables de la Sección 4ª del Reglamento (UE) 2016/679, siendo fundamental que nadie tenga un conflicto de intereses.

Es igualmente importante, que cada uno de estos miembros esté protegido por las disposiciones del Reglamento (UE) 2016/679, como las que impiden la rescisión injustificada del contrato de servicios motivada por las actividades del DPD, o la destitución improcedente del miembro de la organización que realice las funciones de dicho profesional.

Al mismo tiempo, es posible combinar capacidades y puntos fuertes individuales para que varios individuos que trabajen en equipo puedan servir a sus clientes de forma más eficaz. El Grupo de Trabajo del Artículo 29 (Comité Europeo de Protección Datos)14 ha dictaminado que, en aras de la claridad jurídica y de la buena organización y con el fin de evitar conflictos de intereses de los miembros del equipo, se recomienda asignar claramente las tareas dentro del equipo del DPD, y designar una única persona como contacto y persona “a cargo” de cada cliente. Sería también útil, en general, especificar estos puntos en el contrato de servicios.

Este contrato de servicios debe otorgarse previamente al acceso a los datos de carácter personal por parte del DPD, y siempre por escrito, a los efectos tanto de la formalidad requerida en el propio Reglamento (UE) 2016/679, como a efectos meramente probatorios de su contenido, y de los tratamientos de datos que sobre el mismo se van a llevar a efecto.

En todo caso, dicho Contrato debe estar supeditado a los requisitos establecidos en el artículo 28 del citado Reglamento, y que básicamente son los que se consignan en el apartado 2º de dicho precepto, y que son los que se indican a continuación:

“El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:

a) Tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.

b) Garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

c) Tomará todas las medidas necesarias de conformidad con el artículo 3215.

d) Respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento.

e) Asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III.

f) Ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 3616, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado”.

g) A elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros.

h) Pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable”.

1Cfr.: Concepto de Delegado de Protección de Datos. Guía Jurídica de Protección de Datos. Editorial Wolters Kluwers.

https://guiasjuridicas.wolterskluwer.es/Content/Documento.aspx?params=H4sIAAAAAAAEAMtMSbF1jTAAAkNjEwMjI7Wy1KLizPw8WyMDQwsDU0MTkEBmWqVLfnJIZUGqbVpiTnEqAI7x2b81AAAAWKE

2En el Considerando 49 de la Directiva 95/46/CE se incorpora la figura del delegado de protección de datos, cuando afirmó lo siguiente:

“Considerando que para evitar trámites administrativos improcedentes, los Estados miembros pueden establecer exenciones o simplificaciones de la notificación para los tratamientos que no atenten contra los derechos y las libertades de los interesados, siempre y cuando sean conformes a un acto adoptado por el Estado miembro en el que se precisen sus límites; que los Estados miembros pueden igualmente disponer la exención o la simplificación cuando un encargado, nombrado por el responsable del tratamiento, se cerciore de que los tratamientos efectuados no pueden atentar contra los derechos y libertades de los interesados; que la persona encargada de la protección de los datos, sea o no empleado del responsable del tratamiento de datos, deberá ejercer sus funciones con total independencia”.

Cfr.: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex%3A31995L0046

3En este sentido, DE LA VIUDA LINARES, Sara. “El Delegado de Protección de Datos”. Junta de Castilla y León. Valladolid 17 de octubre de 2018.

4Agencia Española de Protección de Datos. Resolución de la Agencia Española de Protección de Datos por la que se aprueba la modificación del Esquema de Certificación de Delegados de Protección de Datos (Esquema AEPD – DPD).

https://www.aepd.es/sites/default/files/2020-01/resolucion-aprobacion-esquema-certificacion-AEPD-DPD.pdf

5SANCHEZ ORS, Carme, ha indicado sobre esta figura lo siguiente:

“Quien actúe en como delegado de protección de datos deberá ser un solucionador de todas las acciones relacionadas con el tratamiento de datos personales que se le planteen por la dirección, por los terceros con los que se relacione su organización, y por sus compañeros. En la medida en que un delegado de protección de datos consiga ser percibido como un facilitador, será buscado o esquivado por el resto de la organización. Cuando se le presente un nuevo proyecto un inicial un ‘no puede hacerse’ debe ser descartado y planteado como un ‘veamos cómo podemos hacerlo’. Así esta figura, con la colaboración de toda la organización, conseguirá que se cumpla simultáneamente con todas las obligaciones de la normativa vigente, garantizando los derechos de las personas, y con la misión y visión de su organización”.