Javier Puyol Montero - La figura del Delegado de Protección de Datos (DPD)

a) Los colegios profesionales y sus consejos generales.

Un colegio profesional o colegio oficial es una asociación de carácter profesional o gremial integrada por quienes ejercen una profesión liberal y que suelen estar amparados por el Estado.

b) Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.

Están constituidos básicamente por centros que ofrezcan enseñanzas regladas (infantil, educación primaria, educación secundaria, bachillerato, formación profesional, enseñanzas artísticas, enseñanzas de idiomas, enseñanzas deportivas, enseñanza de personas adultas y educación especial) y las Universidades públicas y privadas.

c) Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.

Aquí se incluyen las compañías telefónicas y los proveedores de acceso a Internet, siempre y cuando traten a gran escala perfiles.

d) Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.

En este caso estaríamos hablando de una tienda online, una red social, etc., cuando elaboren a gran escala perfiles de los usuarios del servicio.

e) Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito21.

Estamos hablando de entidades de crédito como los bancos, las cajas de ahorros, las cooperativas de crédito y el Instituto de Crédito Oficial.

f) Los establecimientos financieros de crédito.

Son aquellas empresas que, sin tener la consideración de entidad de crédito y previa autorización del Ministro de Economía y Competitividad, se dediquen con carácter profesional a la concesión de préstamos y créditos, el arrendamiento financiero o la concesión de avales y garantías.

g) Las entidades aseguradoras y reaseguradoras.

Una compañía de seguros o aseguradora es la empresa especializada en el seguro, cuya actividad económica consiste en producir el servicio de seguridad, cubriendo determinados riesgos económicos (riesgos asegurables) a las unidades económicas de producción y consumo.

h) Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.

Son las que ofrecen servicios de inversión bursátiles y de fondos de ahorro.

i) Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.

En este caso no solo comprendemos a las compañías eléctricas, sino también a las entidades que venden al público esa electricidad.

j) Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.

k) Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.

Se incluyen aquellas empresas que se dediquen al marketing elaborando perfiles del consumidor.

l) Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.

En este caso incluimos diversos tipos de centros sanitarios, como hospitales, clínicas estéticas o clínicas dentales, las cuales se encuentra obligados a mantener la historia clínica del paciente.

Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.

m) Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.

Se hace referencia a aquellas empresas, cuya actividad principal es la aportación de informes relativos al comercio realizado por persona físicas.

n) Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.

En este caso, se deben entender como incluidas, las entidades que ofrecen apuestas deportivas online, así como también juegos de casino.

ñ) Las empresas de seguridad privada.

Están insertas las empresas que desempeñen las actividades reguladas por el Título II de la Ley 5/2014, de 4 de abril, de Seguridad Privada.

Se incluyen en este caso empresas que proporcionan seguridad privada así como también los despachos de detectives privados.

o) Las federaciones deportivas cuando traten datos de menores de edad.

En tales casos, puede afirmarse, sin excepción alguna, que la designación de un DPD es completamente obligatoria.

2. El DPD del encargado de tratamiento.

Debe partirse de la conceptualización de que el encargado de tratamiento es la persona física o jurídica, autoridad, servicio u otro organismo que en el ejercicio de su actividad trata datos de carácter personal que son responsabilidad del responsable del Tratamiento.

Así mientras que el responsable del tratamiento determina los fines y los medios relacionados con el tratamiento de los datos personales. De modo que, decide «por qué» y «cómo» deberán tratarse los datos personales, el encargado del tratamiento trata los datos personales únicamente por cuenta del responsable del tratamiento. El encargado del tratamiento de los datos suele ser un tercero externo a la empresa; sin embargo, en el caso de los grupos de empresas, una de ellas puede actuar como encargada del tratamiento para otra.

El artículo 4.8) del Reglamento (UE) 2016/679, define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Lo relevante, por tanto, es que el encargado del tratamiento, a diferencia de lo que ocurre con la figura de responsable del tratamiento, no decide sobre el tratamiento de los datos personales.

En este sentido, el Grupo de Trabajo del Artículo 29 (GT29), que se integró desde el 25 de mayo de 2018 en el Comité Europeo de Protección de Datos (CEPD), señaló en su Dictamen 1/2010 sobre los conceptos de “responsable del tratamiento” y “encargado del tratamiento”, WP 169, adoptado el 16 de febrero de 2010, que para estar ante un encargado del tratamiento tienen que darse dos condiciones básicas: por una parte, ser una entidad jurídica independiente del responsable del tratamiento y, por otra, realizar el tratamiento de datos personales por cuenta de éste. Y en relación con esta última cuestión, lo que resalta el Grupo de trabajo del artículo 29, es que el responsable del tratamiento puede decidir delegar todas o una parte de las actividades de tratamiento en una organización externa, es decir —como se señala en la exposición de motivos de la propuesta modificada de la Comisión—, en «una persona jurídicamente distinta que actúa por su cuenta”22.

En cuanto al proceso de designación de un DPD por parte de un encargado de tratamiento, debe hacerse alusión a lo establecido en el apartado 1º del artículo 37 del Reglamento (UE) 2016/67923, en el sentido de que las normas que rigen y determinan el nombramiento de dicho profesional, es común tanto para el responsable del tratamiento, como para el encargado del mismo, siendo asimismo idénticos los supuestos en los que dicha designación debe hacerse con el carácter de obligatoria, por lo que procede reiterar lo ya afirmado con relación al proceso de designación obligatoria de DPD con relación al responsable del tratamiento.