¿Qué riesgos puede asumir el Delegado de Protección de Datos?

Como ya sabe, el Reglamento europeo de Protección de Datos (RGPD) establece como obligatoria la figura del Delegado de Protección de Datos (DPD) para las organizaciones que traten un gran volumen de datos de carácter personal o datos que sean sensibles, y para todas las administraciones públicas.

Es importante conocer que la normativa de protección de datos ofrece un marco basado en la rendición de cuentas. Los DPD como figura obligatoria en algunas entidades, son considerados un elemento nuclear en el marco jurídico para facilitar el cumplimiento de todas las disposiciones vigentes.

Los servicios y tareas relacionados con el Reglamento Europeo de Datos Personales, relativos al servicio de «Delegado de Protección de Datos», serán los siguientes:

• Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud de la normativa aplicable.

• Supervisar el cumplimiento de lo dispuesto en la normativa aplicable y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.

• Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación.

• Cooperar con la autoridad de control.

• Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida las consultas previas y realizar consultas, en su caso, sobre cualquier otro asunto.

• El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.

• Asesorar en la Metodología que debe seguirse al efectuar una evaluación de Impacto de la protección de datos.

• Asesorar si debe llevarse a cabo la evaluación de impacto de protección de datos con recursos propios o con contratación externa.

• Indicar las salvaguardas, incluidas las medidas técnicas y organizativas, a aplicar para mitigar cualquier riesgo para los derechos e intereses de los afectados.

• Comprobar si se ha llevado a cabo correctamente o no la evaluación de impacto de la protección de datos y sus conclusiones, si seguir adelante o no con el tratamiento y que salvaguardas aplicar, son conformes con la normativa.

• Considerar el riesgo asociado a las operaciones de tratamiento, teniendo en cuenta; la naturaleza, el alcance, el contexto y los fines del tratamiento. Deben priorizar sus actividades y centrar sus esfuerzos en aquellas cuestiones que presenten mayores riesgos relacionados con la protección de los datos.

El DPD debe participar en la elaboración del Plan de Sistemas, asesorando e informando de las obligaciones que impone el Reglamento General de Protección de Datos (RGPD) en el tratamiento de datos personales. La propia organización debe promover esta participación a lo largo de toda la planificación estratégica para que el DPD se involucre desde las fases más tempranas, ayudando a crear también una cultura de la protección de datos en la organización. No hay que olvidar que el artículo 25 del RGPD incluye la protección de datos desde el diseño, y ese diseño se puede considerar que empieza desde la visión estratégica de la organización.

Riesgos que puede haber para la labor de un DPD

• Ausencia de una planificación estratégica de la organización, que condenaría al DPD a moverse por todos los rincones de la organización sin saber exactamente dónde se puede presentar un problema o necesitar su asesoramiento.

• La invisibilidad: una organización en la que no haya sido designado oficialmente, no se le invite regularmente a las reuniones directivas, o no se consideren sus opiniones en éstas (por ejemplo, no recogiendo en las actas sus desacuerdos con las decisiones adoptadas). Un riesgo opuesto al anterior se presentaría en una organización en la que el DPD es conocido, invitado, y se le satura con información no relevante para el control de los datos personales, incluyendo información excesivamente técnica y con poco tiempo para su estudio.

• El DPD que participe en la elaboración de cualquier plan de esta naturaleza va a necesitar, además de conocimientos del derecho, de protección de datos y del negocio de la organización, de habilidades técnicas en la materia concreta del plan, y capacidad de comunicación. Las carencias en la preparación del DPD en cualquiera de estos aspectos deberían cubrirse con apoyo de otras personas.

• Un último riesgo que se debe tener en cuenta es el conflicto de intereses. El DPD puede ser externo o no tener una dedicación exclusiva en la organización, pero si en un plan estratégico, o en alguno de los proyectos que se identifican en él, considera que su labor puede verse afectada por sus diferentes cometidos, es el momento de decirlo y que la organización pueda reaccionar a tiempo.

Fuente: AEPD