La importancia de designar Delegado de Protección de Datos en España

La Agencia Española de Protección de Datos (AEPD) ha emitido durante el año 2020 diversas resoluciones por incumplimiento de la obligación de designar un Delegado de Protección de Datos (DPD). En este artículo se comentan las principales resoluciones adoptadas hasta la fecha –20 de Noviembre del 2020–. Concretamente, se analizan tres casos en que las organizaciones sí estaban obligadas a nombrar DPD y no lo hicieron: el de unaempresa de seguridad privada, el de una empresa de reparto a domicilio y el de un ayuntamiento.

Caso 1: Empresa de seguridad privada(PS/00251/2020)

En primer lugar se analiza la resolución de fecha 29 de Octubre del 2020, relativa a la empresa de seguridad privada CONSEGURIDAD S.L..

El procedimiento se inicia ante la reclamación presentada por la Federación Estatal de Servicios, Movilidad y Consumo del sindicato UGT Madrid (FESMC UGT Madrid) ante la AEPD. El motivo de la reclamación consiste en que la empresa de seguridad en cuestión no ha designado DPD, a pesar de disponer de un sistema de videovigilancia CCTV (Circuito Cerrado de Televisión).

Es importante resaltar que la AEPD intenta contactar con la empresa en dos ocasiones para trasladarle la reclamación (tanto por notificación electrónica como por correo certificado), sin éxito.

En esta resolución, la AEPD considera que existe vulneración del artículo 37.1.b) del Reglamento General de Protección de Datos (RGPD) en relación con el artículo 34.1ñ) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

De igual modo, en la resolución se recuerda a la empresa que es posible llevar a cabo dicho tratamiento de videovigilancia mediante la instalación de cámaras, siempre y cuando la finalidad del tratamiento consista en garantizar la seguridad de bienes y personas y se disponga del correspondiente cartel informativo.

En este caso, la AEPD impone una sanción de 50.000 euros, por lo que estamos ante la sanción más alta impuesta hasta la fecha por falta de designación de DPD en España.

Esta resolución es relevante porque en la graduación de la sanción concurren los dos agravantes siguientes:

1. Número de interesados afectados.- En este sentido, la empresa de seguridad lleva a cabo un tratamiento de datos «a gran escala» por el número de clientes que tiene.

2. Tipología de datos.- Los datos afectados son identificadores personales básicos.

Caso 2: Empresa de reparto a domicilio(PS/00417/2019)

En segundo lugar, se encuentra la resolución de 1 de Abril de 2020, en la que se sanciona a la empresa de reparto a domicilio GLOVOAPP23, S.L., conocida como Glovo.

En este caso, dos son los reclamantes que se dirigen a la AEPD a raíz de la ausencia de nombramiento de DPD por parte de la empresa.

A diferencia del Caso 1, en esta ocasión la organización reclamada sí contesta a la AEPD. Es más, la empresa afirma en su respuesta que no se encuentra obligada a designar DPD, en virtud del tratamiento de datos personales que realiza. De igual modo, señala que el órgano interno encargado de realizar las funciones de DPD es el Comité de Protección de Datos.

A pesar de ello, una vez iniciado el procedimiento sancionador, la empresa comunica a la AEPD el nombramiento de su DPD.

La AEPD entiende que se vulnera el artículo 37.1.b) del RGPD en relación con el artículo 34 de la LOPDGDD, por la falta de designación de DPD, al realizar esta organización un tratamiento de datos personales «a gran escala«.

La sanción que se acuerda imponer en este caso asciende a 25.000 euros. Al igual que se ha visto en el Caso 1, la AEPD gradúa la sanción por concurrir los dos agravantes siguientes:

1. Número de interesados afectados.- Debido a que la empresa de reparto a domicilio lleva a cabo un tratamiento de datos «a gran escala» por el número de clientes que tiene.

2. Tipología de datos.- Los datos afectados son identificadores personales básicos.

Si bien la empresa interpone un recurso de reposición contra la resolución en cuestión en fecha 1 de julio el 2020, la AEPD lo desestima y, en consecuencia, la empresa reclamada debe hacer frente al pago de la sanción.

Caso 3: Ayuntamiento (PS/00001/2020)En tercer lugar, en fecha 20 de Marzo del 2020, la AEPD dicta resolución en un procedimiento por falta de designación de DPD por parte de una entidad local, en este caso, del ayuntamiento Huércal de Almería. Este caso es relevante porque es la primera vez que se sanciona a una organización pública por no nombrar DPD en España.

Como hecho curioso, se destaca que el denunciante es un antiguo alcalde de dicho municipio.

En la resolución, la AEPD manifiesta que el ayuntamiento infringe el artículo 37 del RGPD y, en consecuencia,decide sancionarle con un apercibimiento por el mismo motivo.

La AEPD señala además que el RGPD entró en vigor el 25 de mayo de 2016, dejando suficiente tiempo a cada organización para adecuar sus actividades de tratamiento a este texto legislativo. Sin embargo, indica la resolución, transcurrido un año y medio tras ese período de transición, el ayuntamiento aún no ha realizado tal adecuación.

Con esta resolución, la AEPD envía un mensaje de advertencia a la administración pública de España, recordándole sus obligaciones en materia de protección de datos. Sin embargo, dado que no se establecen sanciones pecuniarias en la LOPDGDD para las administraciones públicas, en esta ocasión se impuso un simple apercibimiento. De igual modo, la AEPD requiere al ayuntamiento:

1. Que designe un DPD.

2. Que informe a la AEPD de dicha designación en el plazo de un mes.

Por último, es importante señalar el hecho de que la AEPD tardó más de un año y medio en tomar una decisión sobre este asunto (fecha de la reclamación: noviembre del2018; fecha de la resolución: junio del 2020).