Javier Puyol Montero - La figura del Delegado de Protección de Datos (DPD)

1. “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida o las orientaciones sexuales de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;

b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;

c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;

d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;

e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;

f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;

g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;

h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;

i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,

j) el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.

3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.

4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud”.

A su vez, este precepto, debe ser puesto en conexión, con lo afirmado en la letra c) del apartado 1º, del artículo 37 del citado Reglamento Comunitario, en el que se indica:

1. “El responsable y el encargado del tratamiento designarán un DPD siempre que:

c) Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10”.

Debe matizarse el alcance y el contenido de este último precepto, en el sentido de que la obligatoriedad del nombramiento del DPD, no implica en que por parte del responsable y del encargado de tratamiento se traten simultáneamente datos sensibles, así como datos relativos a condenas e infracciones de carácter penal, sino que dicha obligatoriedad debe deducirse siempre que se traten alguna de las tipologías de estos datos, al menos con carácter alternativo, no siendo preciso, por tanto, que se produzca, como ya se ha indicado el tratamiento de ambos, aunque ello parezca deducirse del tenor literal en el que se encuentra redactado dicho precepto.

c.2). Cuando el tratamiento lo sea con relación a los datos relativos a las condenas e infracciones penales.

En el análisis del tratamiento de los datos relativos a las condenas en infracciones de naturaleza penal, debe partirse del contenido del artículo 10 del Reglamento (UE) 2016/679, señala con relación al tratamiento de los datos relativos a las condenas e infracciones penales, lo siguiente:

“El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas”.

Con relación al tratamiento de estos datos, nos debemos remitir a lo ya indicado sobre los tratamientos de datos sensibles, y de la obligación que, en uno y otro caso, se establece de proceder al nombramiento de un DPD.

D. Otros supuestos donde es obligatorio el nombramiento de un DPD

Adicionalmente a lo afirmado hasta este momento, y de manera complementaria a ello, debe traerse a colación lo afirmado en el apartado 1º, del artículo 34 de la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos Personales y de garantías de los derechos digitales, donde se determinan los supuestos en los que es obligatorio la designación de un DPD. Así, los responsables y encargados del tratamiento deben proceder a designar un DPD en los supuestos previstos en el apartado 1º del artículo 37 del Reglamento (UE) 2016/679y, en todo caso, cuando se trate de las siguientes entidades20: