Es importante destacar que tanto el R.G.P.D. como la L.O.P.D.G.D.D. hacen referencia de forma explícita e implícita a la necesidad de las organizaciones de formar a su personal.
A fin de determinar la obligatoriedad de la formación en protección de datos, debemos partir del principio de responsabilidad proactiva, principio rector por excelencia de la normativa vigente de protección de datos, el cual exige al Responsable del Tratamiento la adopción de todas aquellas medidas técnicas y organizativas necesarias que garanticen un cumplimiento adecuado y seguro de los datos de carácter personal.
Además, de la lectura de los arts. 24.1, 25 y 32.1 R.G.P.D. y 28.1 L.O.P.D.G.D.D. también se extrae la necesidad de que tanto el Responsable del Tratamiento como el Encargado del Tratamiento desarrollen las medidas técnicas y organizativas necesarias para garantizar y acreditar que el tratamiento de los datos que llevan a cabo cumple con las exigencias establecidas en la normativa de protección de datos, medidas entre las que se encuentran de manera ineludible la formación del personal.
Si continuamos con la lectura de la normativa nos encontramos con el art. 39 R.G.P.D., el cual establece que entre las funciones del Delegado de Protección de Datos se encuentra la de llevar a cabo una concienciación y formación del personal que participa en las operaciones de tratamiento de datos personales.
Y, por último, el art. 47.2 R.G.P.D. también hace referencia a la obligatoriedad de la formación estableciendo que entre el contenido mínimo que se deberá recoger en las normas corporativas vinculantes se deberá encontrar “la formación en protección de datos pertinente para el personal que tenga acceso permanente o habitual a datos personales.”
Por todo ello, podemos concluir que la formación en protección de datos del personal será requisito de obligado cumplimiento para todas aquellas organizaciones que lleven a cabo tratamientos de datos personales, ya que la misma guarda una estrecha relación con el principio de Responsabilidad proactiva que la normativa exige a todo Responsable o Encargado del Tratamiento y que, además, será un requisito cuya acreditación vendrá exigida para los casos en los que la organización actúe como Encargado del Tratamiento, así como en los casos en que la Autoridad de Control así lo requiera.
Un alto porcentaje de los incumplimientos en materia de protección de datos y brechas de seguridad proviene del desconocimiento y de la falta de formación de los empleados, de lo que podemos extraer que la adopción por parte del Responsable de un protocolo de cumplimiento de la normativa de protección de datos es un requisito necesario pero no es suficiente para considerar que se está cumpliendo con la normativa de protección de datos.
De nada sirve establecer un protocolo perfectamente pensado y diseñado para cumplir con los requisitos establecidos en la normativa de protección de datos si no dotamos de las herramientas necesarias a nuestros empleados para que puedan llevar a buen término todas las medidas recogidas en el mismo, por cuanto el desconocimiento en la gran mayoría de las ocasiones conducirá a la falta de aplicación o a una aplicación errónea del mismo, dando lugar a cualquier tipo de infracción que traerá consigo las pertinentes consecuencias
Si necesitas un plan formativo adaptado a las necesidades de tu organización o quieres más información, asesoramiento jurídico o quieres que te ayudemos a cumplir con los deberes establecidos por el RGPD y la LOPDGDD consúltanos.