La Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales establece la figura del Delegado de Protección de Datos.
Este Delegado de Protección de Datos, designado por los responsable y encargados del tratamiento de los datos personales, es obligatorio en algunos supuestos. A continuación nuestros abogados expertos en nuevas tecnologías nos explican cuándo son obligatorios y en qué consiste su intervención.
Delegado de protección de Datos
Funciones del delegado
Las principales funciones del delegado de protección de datos son:
Informar y asesorar al responsable del tratamiento de datos de las obligaciones que debe efectuar para cumplir con el Reglamento General.
Supervisar la aplicación de las normas por el encargado del tratamiento en materia de protección de datos personales. Entre otras, asignación de responsabilidades, formación del personal y auditorías correspondientes.
Supervisar la documentación, notificación y comunicación de las violaciones de datos personales.
Supervisar la respuesta a las solicitudes de la autoridad de control y cooperar con ella por solicitud de las mismas o por iniciativa propia.
Ejercer de contacto con la autoridad de control sobre cuestiones relacionadas con el tratamiento de datos personales.
Necesidad del delegado de protección de datos
La ley señala que es necesario designar a un delegado de protección de datos cuando:
El tratamiento de los datos personales lo lleva a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.
Si las actividades principales del responsable o del encargado consisten en operaciones de tratamiento que requieran una observación habitual y sistemática de datos a gran escala.
Si las actividades principales del responsable o del encargado consisten en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas o infracciones penales.
Pero además, será necesario designar al delegado de protección de datos si se trata de alguna de las siguientes entidades:
Colegios profesionales y sus consejos generales.
Centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
Entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
Prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
Entidades incluidas de las señaladas en la ley que se dediquen a ordenación, supervisión y solvencia de entidades de crédito.
Establecimientos financieros de crédito.
Entidades aseguradoras y reaseguradoras.
Empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
Distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
Entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
Entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
Centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
Entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
Operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
Empresas de seguridad privada.
Federaciones deportivas cuando traten datos de menores de edad.
Hay que destacar que los responsables o encargados del tratamiento no incluidos en este listado de supuestos podrán designar de manera voluntaria un delegado de protección de datos.
Designación del delegado
Los responsables y encargados del tratamiento podrán comunicar en el plazo de 10 días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria.
De esta forma, la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos.
Estos delegados podrán establecerse con dedicación completa o a tiempo parcial en función del volumen de los tratamientos, la categoría especial de los datos tratados o de los riesgos para los derechos o libertades de los interesados.
Cualificación del delegado de protección de datos
El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar sus funciones.
Podrá designarse persona física o jurídica, y demostrarse, a través de mecanismos voluntarios de certificación que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.
Posición del delegado de protección de datos
El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la ley de protección de datos y emitir recomendaciones en el ámbito de sus competencias.
Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio. Se garantizará la independencia del delegado de protección de datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses.
En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso a los datos personales y procesos de tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto.
Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento.
Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos
Cuando el responsable o el encargado del tratamiento designen a un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame.
En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de 2 meses a contar desde la recepción de la reclamación.
Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de 1 mes.
Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento.
Referencias |
| Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales |
Sánchez Bermejo Abogados
A través de nuestros abogados de Málaga te ofrecemos resolución a tus consultas legales, defensa en tribunales, apoyo jurídico de todo tipo para empresas y particulares, divorcios y separaciones, asesoramiento fiscal y tributario, expedientes de extranjería, conflictos de derecho internacional, asesoramiento laboral, derecho bancario y de seguros, reclamación de cláusulas suelo, derecho animal y del medio ambiente, gestión y asesoramiento inmobiliario y mucho más. Nuestras oficinas están en Málaga, y prestamos servicio a toda España. Consúltanos.
