FAQ – DELEGADO DE PROTECCIÓN DE DATOS

El Delegado de Protección de Datos podrá formar parte de la plantilla o ser personal externo vinculado con un contrato de servicios, pero debe de poder desempeñar sus funciones de manera independiente.

La normativa exige que el DPD sea designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar sus funciones.

Expresamente, el DPD deberá contar con las habilidades y destrezas necesarias para llevar a cabo tareas de asesoramiento y supervisión.

Teniendo en cuenta todo esto, te recomendamos que el Delegado de Protección de Datos sea una personal con perfil jurídico y con experiencia demostrable en materia de protección de datos.

Llámanos te informaremos sin compromiso.

Las entidades que designen un Delegado de Protección de Datos, deben de:

• Notificar a la Agencia Española de Protección de Datos el nombramiento del DPD y hacer públicos sus datos.
• Garantizar que el DPD participe de forma adecuada y en tiempo en todas las cuestiones relativas a la protección de datos.
• Respaldar al DPD en el desempeño de sus funciones, facilitando los recursos necesarios y el acceso a los datos personales y a las operaciones de tratamiento.
• Garantizar que el DPD no reciba instrucciones en lo que respecta a sus funciones.
• En caso de que el DPD desempeñe otras funciones y cometidos, garantizar que éstos no den lugar a conflicto de intereses.

Atendiendo al artículo 37 del RGPD el Delegado de Protección de Datos tendrá como mínimo las siguientes funciones:

1. Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros.
2. Supervisar el cumplimiento de lo dispuesto en el Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales.
3. Supervisar la asignación de responsabilidades.
4. Supervisar la concienciación y formación del personal que participa en las operaciones de tratamiento.
5. Supervisar las auditorías correspondientes.
6. Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos.
7. Supervisar su aplicación de conformidad con el artículo 35 del Reglamento.
8. Cooperar con la autoridad de control.
9. Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y
10. Realizar consultas a la autoridad de control, en su caso, sobre cualquier otro asunto.

El DPD debe de desempeñar sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.

El RGPD determina que deben designar un DPD:

1. Autoridades u organismos públicos,
2. Entidades cuyas actividades principales consistan en operación de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala, o
3. Entidades cuyas actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos.

Tras la publicación de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, se amplían estos casos y se incluyen las siguientes entidades:

1. Los colegios profesionales y sus consejos generales.
2. Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
3. Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
4. Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
5. Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
6. Los establecimientos financieros de crédito.
7. Las entidades aseguradoras y reaseguradoras.
8. Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
9. Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
10. Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
11. Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
12. Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.

Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.

13. Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
14. Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
15. Las empresas de seguridad privada.
16. Las federaciones deportivas cuando traten datos de menores de edad.

Aun no estando obligado, es muy recomendable la designación de un DPD voluntario como medida de responsabilidad proactiva, cuyo nombramiento también habrá de notificarse a la agencia española de protección de datos (Art. 34.3. LOPDGDD 3/2018), al igual que en aquellos casos en los que la designación es obligatoria.

No designar un delegado de protección de datos cuando sea exigible su nombramiento, podrá ser considerado una falta grave, que se sancionaran con multas administrativas de 10.000.000€ (Máx) o, en una empresa, de una cuantía variable equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero.