EL DPD COMO SUJETO … PERO TAMBIÉN CON VERBO Y PREDICADO COHERENTE
Hace tiempo que se viene hablando mucho del DPD: de su perfil, sus responsabilidades, sus funciones etc. y en relación con estas alguna vez ya me pronuncié sobre el “escalón” tan grande que separa las funciones que recoge el articulado del RGPD (artículo 39) y si el DPD tenía que “arremangarse o no”
https://www.govertis.com/y-yo-que-pensaba-que-el-dpd-no-tenia-que-arremangarse
El RGPD contempla como funciones del DPD las siguientes:
- Informar y asesorar al responsable, al encargado y empleados.
- Supervisar el cumplimiento incluyendo asignación de responsabilidades, concienciación y formación del personal.
- Asesorar acerca de la evaluación de impacto y supervisar su aplicación.
- Cooperar con la autoridad de control.
- Actuar como punto de contacto en cuestiones relativas al tratamiento de los datos, incluyendo las consultas previas.
A las que el texto del Proyecto de LOPD ha añadido la gestión de reclamaciones:
“1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos será posible, con carácter previo a la presentación de reclamaciones contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, que el afectado se dirija al delegado de protección de datos de la entidad contra la que se reclame.
En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación.
- Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, sin haber hecho uso de la posibilidad a la que se refiere el apartado anterior, aquéllas podrán remitir la reclamación al delegado de protección de datos a fin de que por el mismo se dé respuesta a la misma en el plazo de un mes.
Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VII de esta ley orgánica y en sus normas de desarrollo”.
Es lo que yo llamo vida o “bola extra”… el DPD “te puede librar”….
Por cierto recientemente en el curso de verano de la UIMP por parte de la AEPD se dijo que independientemente de la suerte o ventura de esta disposición del PLOPD la AEPD está ya aplicando dicha posibilidad de que el DPD gestione las reclamaciones y de hecho que si la AEPD recibe una reclamación de una organización que tiene designado DPD podrá derivar al mismo la reclamación.
Pero continuemos … Si descendemos a las tareas del DPD que el esquema de certificación y el documento de la AEPD sobre el DPD en AAPP relacionan, estas serían las siguientes:
- Cumplimiento de principios relativos al tratamiento: limitación de finalidad, minimización o exactitud de los datos
- Identificación de las bases jurídicas de los tratamientos
- Valoración de compatibilidad de finalidades distintas de las que originaron la recogida inicial de los datos
- Existencia de normativa sectorial que pueda determinar condiciones de tratamiento específicas
- Diseño e implantación de medidas de información a los afectados por los tratamientos de datos
- Establecimiento de mecanismos de recepción y gestión de las solicitudes de ejercicio de derechos por parte de los interesados
- Valoración de las solicitudes de ejercicio de derechos por parte de los interesados
- Contratación de encargados de tratamiento, incluido el contenido de los contratos o actos jurídicos requeridos
- Identificación de los instrumentos de TID adecuados a las necesidades y características de la organización y de las razones que la
- Diseño e implantación de políticas de protección de datos
- Auditoría de protección de datos
- Establecimiento y gestión de los registros de actividades de tratamiento
- Análisis de riesgo de los tratamientos realizados
- Implantación de las medidas de protección de datos desde el diseño y por defecto adecuadas a los riesgos y naturaleza de los tratamientos
- Implantación de las medidas de seguridad adecuadas a los riesgos y naturaleza de los tratamientos
- Establecimiento de procedimientos de gestión de violaciones de seguridad de los datos y de notificación a las autoridades y a los afectados
- Determinación de la necesidad de realización de evaluaciones de impacto sobre la protección de datos
- Realización de evaluaciones de impacto sobre la protección de datos
- Relaciones con las autoridades de supervisión
- Implantación de programas de formación y sensibilización del personal en materia de protección de datos
Y – como se ve claramente en la citada relación – las citadas funciones tienen algunas carencias notables:
- a) Unas no respetan una deseable segregación de funciones.
- b) Otras son tareas sin verbo, lo que constituye una contradicción.
- c) Y algunas son acciones que es muy raro que las ejerza el DPD pues parecen más propias de otro rol.
Por ello y después de algunas vueltas he decidido ponerles verbo a las acciones y dotarlas de cierta coherencia y “me ha salido” este listado que espero os sea de utilidad:
- Supervisar sobre el cumplimiento de principios relativos al tratamiento: limitación de finalidad, minimización o exactitud de los datos.
- Supervisar sobre la identificación de las bases jurídicas de los tratamientos.
- Valorar la compatibilidad de finalidades distintas de las que originaron la recogida inicial de los datos.
- Supervisar la existencia de normativa sectorial que pueda determinar condiciones de tratamiento específicas.
- Supervisar la existencia de medidas de información a los afectados por los tratamientos de datos.
- En relación con el ejercicio de derechos:
- a) Mantener las relaciones con las autoridades de supervisión y en su caso interesados en el caso de que se produzcan procedimientos de tutela de derechos o se inicien actuaciones relacionadas con un posible incumplimiento en materia de protección de datos derivado de un derecho.
- b) Alentar y aprobar la implantación de programas de formación y sensibilización del personal en materia de protección de datos en los que se incluya la correcta formación en materia de ejercicio de derechos a los actores con responsabilidades en la materia.
- c) Alentar y aprobar la implantación de programas de sensibilización a los interesados “s” (empleados) en relación con el tratamiento de sus datos personales que incluya lo relativo al ejercicio de sus derechos.
- d) Establecer mecanismos de recepción y gestión de las solicitudes de ejercicio de derechos por parte de los interesados.
- Aprobar y supervisar el procedimiento de contratación de encargados de tratamiento, incluido el contenido de los contratos requeridos.
- Aprobar las transferencias internacionales de Datos que se realizan y supervisar que todas ellas disponen de una causa de legitimación.
- Supervisar y aprobar el diseño e implantación de políticas de protección de datos.
- Promover la realización de controles del Sistema de Gestión de Protección de Datos (incluidas las auditorías), y supervisar sus resultados.
- Supervisar y aprobar los registros de actividades de tratamiento, así como los cambios que se realicen en relación con los mismos.
- Supervisar y aprobar los análisis de riesgo de los tratamientos realizados.
- Supervisar y aprobar los supuestos de determinación de la necesidad de realización de evaluaciones de impacto sobre la protección de datos.
- Supervisar y aprobar las evaluaciones de impacto sobre la protección de datos que se realicen.
- Supervisar y aprobar la implantación de las medidas de protección de datos desde el diseño y por defecto adecuadas a los riesgos y naturaleza de los tratamientos.
- Supervisar y aprobar la implantación de las medidas de seguridad adecuadas a los riesgos y naturaleza de los tratamientos.
- Supervisar y aprobar la implantación el establecimiento de procedimientos de gestión de violaciones de seguridad de los datos y de notificación a las autoridades y a los afectados.
- Mantener las relaciones con las autoridades de control que se deriven de las violaciones de seguridad, procedimiento de tutela de derechos, procedimiento sancionador o cualquier otro motivo.
- Mantener las relaciones con interesados que se requieran.
- Promover la implantación de programas de formación y sensibilización del personal en materia de protección de datos.
- Supervisar que el sistema de gestión de protección de datos es conveniente, adecuado y eficaz y promover la mejora continua.
- Asesorar a la Dirección sobre los niveles de riesgos aceptables.
- Elevar los resultados, de las revisiones del estado de la gestión de la protección de datos a la Dirección.
- Resolver los conflictos de responsabilidades que puedan aparecer entre los diferentes roles y/o entre diferentes áreas en relación con la protección de datos de carácter personal.
- Participar en la gestión de las reclamaciones que se produzcan en materia de protección de datos.
- Supervisar la gestión de brechas de seguridad, Particularmente antes de su comunicación ante la autoridad de control y/o interesados.
Eduard Chaveli
IT Lawyer & CEO de GOVERTIS
Expertos en Ciberseguridad, Privacidad, IT GRC y Cumplimiento Normativo unificando la perspectiva Legal y Tecnológica.
