El delegat de protecció de dades

La figura del delegat de protecció de dades adquireix una destacada importància en el Reglament (UE) 2016/679 i així ho recull el projecte de llei orgànica, que parteix del principi que pot tenir un caràcter obligatori o voluntari, estar o no integrat en l'organització del responsable o encarregat i ser tant una persona física com una persona jurídica.

La designació del delegat de protecció de dades ha de comunicar-se a l'autoritat de protecció de dades competent. L'Agència Espanyola de Protecció de Dades mantindrà una relació pública i actualitzada dels delegats de protecció de dades, accessible per qualsevol persona.

Els coneixements en la matèria, que han de superposar experiència en Dret i en matèria de protecció de dades,  es podran acreditar mitjançant esquemes de certificació, tot i que aquesta és potestativa.

Així mateix, no es podrà acomiadar, excepte en els supòsits de dol o negligència greu.

És de destacar que el delegat de protecció de dades permet configurar un mitjà per a la resolució amistosa de reclamacions, doncs l'interessat podrà reproduir davant ell la reclamació que no sigui atesa pel responsable o encarregat del tractament

La regulació es limita a delimitar el règim jurídic; la iniciació dels procediments, sent possible que l'Agència Espanyola de Protecció de Dades remeti la reclamació al delegat de protecció de dades o als òrgans o entitats que tinguin al seu càrrec la resolució extrajudicial de conflictes conforme a l'establert en un codi de conducta; la inadmissió de les reclamacions; les actuacions prèvies de recerca; les mesures provisionals, entre les quals destaca el bloqueig de les dades; i el termini de tramitació dels procediments i, si escau, la seva suspensió. Les especialitats del procediment es remeten al desenvolupament reglamentari.

Quan el responsable o l'encarregat del tractament haguessin designat un delegat de protecció de dades hauran de comunicar-li qualsevol addició, modificació o exclusió en el contingut del registre, segons l’art. 31 NLOPD sobre el RAT (Registre d’Activitats de Tractament).

La figura del Delegat de protecció de dades ve regulada en els arts 34 i ss.

En l’article 34 es planteja uns casos en els que la designació d'un delegat de protecció de dades és obligatòria si tira endavant la llei, tant els responsables com els encarregats del tractament hauran de designar un delegat de protecció de dades en els supòsits previstos en l'article 37.1 del Reglament (UE) 2016/679 i, en tot cas, quan es tracti de les següents entitats:

a) Els col·legis professionals i els seus consells generals, regulats per la Llei 2/1974, de 13 febrer, sobre col·legis professionals.

b) Els centres docents que ofereixin ensenyaments regulats per la Llei Orgànica 2/2006, de 3 de maig, d'Educació, i les Universitats públiques i privades.

c) Les entitats que explotin xarxes i prestin serveis de comunicacions electròniques conforme al que es disposa en la Llei 9/2014, de 9 de maig, General de telecomunicacions, quan tractin habitual i sistemàticament dades personals a gran escala.

d) Els prestadors de serveis de la societat de la informació quan elaborin a gran escala perfils dels usuaris del servei.

i) Les entitats incloses en l'article 1 de la Llei 10/2014, de 26 de juny, d'ordenació, supervisió i solvència d'entitats de crèdit.

f) Els establiments financers de crèdit regulats per Títol II de la Llei 5/2015, de 27 d'abril, de foment del finançament empresarial.

g) Les entitats asseguradores i re-asseguradores sotmeses a la Llei 20/2015, de 14 de juliol, d'ordenació, supervisió i solvència de les entitats asseguradores i re-asseguradores.

h) Les empreses de serveis d'inversió, regulades pel Títol V del text refós de la Llei del Mercat de Valors, aprovat per Reial decret Legislatiu 4/2015, de 23 d'octubre.

i) Els distribuïdors i comercialitzadores d'energia elèctrica, conforme al que es disposa en la Llei 24/2013, de 26 de desembre, del sector elèctric, i els distribuïdors i comercialitzadors de gas natural, conforme a la Llei 34/1998, de 7 d'octubre, del sector d'hidrocarburs.

j) Les entitats responsables de fitxers comuns per a l'avaluació de la solvència patrimonial i crèdit o dels fitxers comuns per a la gestió i prevenció del frau, incloent als responsables dels fitxers regulats per l'article 32 de la Llei 10/2010, de 28 d'abril, de prevenció del blanqueig de capitals i del finançament del terrorisme.

k) Les entitats que desenvolupin activitats de publicitat i prospecció comercial, incloent les de recerca comercial i de mercats, quan duguin a terme tractaments basats en les preferències dels afectats o realitzin activitats que impliquin l'elaboració de perfils dels mateixos.

l) Els centres sanitaris legalment obligats al manteniment de les històries clíniques dels pacients conformement al que es disposa en la Llei 41/2002, de 14 de novembre, bàsica reguladora de l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació clínica.

m) Les entitats que tinguin com un dels seus objectes l'emissió d'informes comercials que puguin referir-se a persones físiques.

n) Els operadors que desenvolupin l'activitat de joc a través de canals electrònics, informàtics, telemàtics i interactius, conforme al que es disposa en la Llei 3/2011, de 27 de maig, de regulació del joc.

o) Els qui exerceixin les activitats regulades pel Títol II de la Llei 5/2014, de 4 d'abril, de Seguretat Privada.

També es regula en l’article 35 com quins coneixements haurà de tenir el delegat de protecció de dades. Per això ens remet als requisits de l’art. 37.5 del RGPD. En aquest article ens diu que el delegat de protecció de dades serà designat atenent a les seves qualitats professionals i, en particular, als seus coneixements especialitzats de Dret i en la pràctica de la protecció de dades i a la seva capacitat per a desenvolupar les funcions indicades en l’article 39.

L’article 39 RGPD cita que el delegat de protecció de dades tindrà com a mínim les següents funcions:

a) informar i assessorar al responsable o a l'encarregat del tractament i als empleats que s'ocupin del tractament de les obligacions que els incumbeixen en virtut del present Reglament i d'altres disposicions de protecció de dades de la Unió o dels Estats membres;

b) supervisar el compliment del que es disposa en el present Reglament, d'altres disposicions de protecció de dades de la Unió o dels Estats membres i de les polítiques del responsable o de l'encarregat del tractament en matèria de protecció de dades personals, inclosa l'assignació de responsabilitats, la conscienciació i formació del personal que participa en les operacions de tractament, i les auditories corresponents;

c) oferir l'assessorament que se li sol·liciti sobre l'avaluació d'impacte relativa a la protecció de dades i supervisar la seva aplicació de conformitat amb l'article 35;

d) cooperar amb l'autoritat de control;

i) actuar com a punt de contacte de l'autoritat de control per a qüestions relatives al tractament, inclosa la consulta prèvia al fet que es refereix l'article 36, i realitzar consultes, si escau, sobre qualsevol altre assumpte.

La NLOPD ens assessora que el compliment dels requisits establerts en l'article 37.5 del Reglament (UE) 2016/679 per a la designació del delegat de protecció de dades, sigui persona física o jurídica, podrà demostrar-se, entre altres mitjans, a través de mecanismes voluntaris de certificació.

En l’article 36 es regula la posició del delegat de protecció de dades. Aquí es llegeixen les següents actuacions que ha de portar a terme el delegat de protecció de dades:

1. El delegat de protecció de dades actuarà com a interlocutor del responsable o encarregat del tractament davant l'Agència Espanyola de Protecció de Dades i les autoritats autonòmiques de protecció de dades.

2. Quan es tracti d'una persona física integrada en l'organització del responsable o encarregat del tractament, el delegat de protecció de dades no podrà ser acomiadat ni sancionat pel responsable o l'encarregat per exercir les seves funcions tret que incorregués en dol o negligència greu en el seu exercici.

3. En l'exercici de les seves funcions el delegat de protecció de dades tindrà accés a les dades personals i processos de tractament, no podent oposar a aquest accés el responsable o l'encarregat del tractament l'existència de qualsevol deure confidencialitat o secret, incloent el previst en l'article 5 d'aquesta llei orgànica.

4. Quan el delegat de protecció de dades apreciï l'existència d'una vulneració rellevant en matèria de protecció de dades ho comunicarà immediatament als òrgans d'administració i direcció del responsable o l'encarregat del tractament.

En l’article 37 es regula com ha d’intervenir el delegat de protecció de dades en cas de reclamació davant les autoritats de protecció de dades:

1. Quan el responsable o l'encarregat del tractament haguessin designat un delegat de protecció de dades l'afectat podrà, amb caràcter previ a la presentació d'una reclamació contra aquells davant l'Agència Espanyola de Protecció de Dades o, si escau, davant les autoritats autonòmiques de protecció de dades, dirigir-se al delegat de protecció de dades de l'entitat contra la qual es reclami.

En aquest cas, el delegat de protecció de dades comunicarà a l'afectat la decisió que s'hagués adoptat en el termini màxim de dos mesos a explicar des de la recepció de la reclamació.

2. Quan l'afectat present una reclamació davant l'Agència Espanyola de Protecció de Dades o, si escau, davant les autoritats autonòmiques de protecció de dades, sense haver fet ús de la possibilitat a la qual es refereix l'apartat anterior, aquelles podran remetre la reclamació al delegat de protecció de dades a fi que aquest respongui en el termini d'un mes. Si transcorregut aquest termini el delegat de protecció de dades no hagués comunicat a l'autoritat de protecció de dades competent la resposta donada a la reclamació, aquesta autoritat continuarà el procediment conformement a l'establert en el Títol VIII d'aquesta llei orgànica i en les seves normes de desenvolupament.