La entrada en vigor del RGPD trajo consigo la implantación de la figura del Delegado de protección de Datos, más conocido por sus siglas en inglés DPO (Data Protection Officer). Esta figura actúa como asesor legal en materia de protección de datos y resulta de especial importancia dada la especial complejidad que entraña la interpretación de la normativa.
¿Qué es un DPO?
El Delegado de Protección de Datos es la persona encargada de garantizar el cumplimiento normativo de la normativa de protección de datos dentro de una organización.
Si bien es cierto que el RGPD no exige que el DPO deba ser un jurista, sí que deberá contar con amplios conocimientos jurídicos y más concretamente en materia de protección de datos, ya que será el encargado de velar no sólo por el cumplimiento normativo que lleva a cabo nuestra empresa, sino que también velará por la seguridad del tratamiento de los datos que se manejan.
¿Necesita mi empresa un DPO?
No todas las organizaciones están obligadas a nombrar un DPO, si bien nada impide nombrarlo aun siendo su nombramiento voluntario dando así muestra de esa actitud proactiva que la normativa exige a los responsables del tratamiento.
El artículo 37 RGPD y 34 LOPD GDD establece la obligación de designar DPO en los siguientes supuestos:
- El tratamiento de los datos personales lo lleve a cabo una autoridad u organismo público, a excepción de los tribunales que actúen en ejercicio de su función judicial.
- Las actividades principales del responsable o del encargado que consistan en tratamiento de datos que, en razón de su naturaleza, alcance y/o fines, requieran alguna observación habitual y sistemática de interesados a gran escala.
- Aquellas actividades principales del responsable o encargado que consistan en el tratamiento a gran escala de las categorías especiales de los datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10.
- Colegios profesionales y sus consejos generales.
- Centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
- Las entidades de ordenación, supervisión y solvencia de entidades de crédito.
- Los establecimientos financieros de crédito.
- Las entidades aseguradoras o reaseguradoras.
- Las empresas de servicios de inversión.
- Los distribuidores y comercializadores de energía eléctrica y distribuidores de gas natural.
- Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
- Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
- Los centros sanitarios.
- Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
- Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
- Empresas de seguridad privada.
- Las federaciones deportivas cuando traten datos de menores de edad.
Los grupos empresariales podrán nombrar a un único DPO siempre y cuando sea accesible a todas las empresas que forman el grupo.
Funciones del DPO
Según lo establecido en el artículo 39 RGPD, el DPO deberá cumplir con las siguientes funciones entre otras:
- Informar y asesorar al responsable o encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben.
- Supervisar el cumplimiento de lo dispuesto en la normativa.
- Llevar a cabo la formación y concienciación del personal que lleva a cabo el tratamiento de los datos.
- Llevar a cabo las auditorías correspondientes.
- Ofrecer el asesoramiento que se le solicite acerca de la Evaluación de Impacto en Protección de datos así como supervisar su aplicación.
- Cooperar con las Autoridades de Control.
- Actuar como punto de contacto de las Autoridades de Control para cuestiones relativas al tratamiento y la realización de consultas sobre cualquier asunto.
Si consideras que tu empresa opera en algunas de las finalidades reflejadas en este artículo, no dudes en contactarnos para darte más información, asesoramiento jurídico o necesitas que te ayudemos a cumplir con los deberes establecidos por el RGPD y la LOPDGDD consúltanos.