Oficial de Protección de Datos – RGPD

El Reglamento General de Protección de Datos (GDPR) ha establecido el concepto de Delegado de Protección de Datos (DPO) en Europa. Contrario a la creencia popular, lo decisivo para la obligación legal de nombrar un Delegado de Protección de Datos no es el tamaño de la empresa, sino las actividades de procesamiento centrales que se definen como aquellas esenciales para lograr los objetivos de la empresa. Si estas actividades centrales consisten en procesar datos personales sensibles a gran escala o una forma de procesamiento de datos que es particularmente de gran alcance para los derechos de los sujetos de datos, la empresa debe nombrar un DPO. Los organismos públicos, por otra parte, siempre deben nombrar un DPO, con la excepción de los tribunales que actúan en su capacidad judicial. Además, la norma legal para nombrar un Delegado de Protección de Datos tiene una cláusula de flexibilidad para los Estados miembros. Estos son libres para decidir si una empresa debe nombrar un Delegado de Protección de Datos bajo requisitos más estrictos (por ejemplo, Sección 38 de la Ley Federal de Protección de Datos de Alemania). Si dicha obligación existe bajo el Reglamento General de Protección de Datos o una ley nacional más específica, un grupo de empresas puede también nombrar un único Delegado de Protección de Datos. Si el grupo decide hacerlo, debe ser fácilmente accesible para las autoridades de supervisión, empleados y sujetos de datos externos. Si no existe obligación legal, las empresas pueden nombrar un DPO de manera voluntaria para ayudar con el cumplimiento de la protección de datos (lo cual es por ejemplo recomendado por la autoridad de protección de datos francesa CNIL).

Los grupos y las empresas tienen dos posibilidades para cumplir con su obligación de nombrar un Delegado de Protección de Datos. O bien nombran a un empleado como Delegado de Protección de Datos interno, o bien designan a un Delegado de Protección de Datos externo. Al seleccionar a dicha persona, deben asegurarse de que un Delegado de Protección de Datos interno no esté sujeto a un conflicto de intereses debido a su trabajo en el Departamento de TI, el Departamento de Recursos Humanos o la alta dirección, donde tendría que supervisarse a sí mismo. Independientemente de la opción elegida, un Delegado de Protección de Datos debe proporcionar conocimientos profesionales expertos en derecho de protección de datos y seguridad informática, cuyo alcance depende de la complejidad del procesamiento de datos y del tamaño de la empresa.

Las responsabilidades de un Responsable de Protección de Datos incluyen: Trabajar hacia el cumplimiento de todas las leyes de protección de datos relevantes, monitorear procesos específicos, como las evaluaciones de impacto en la protección de datos o la sensibilización y formación de empleados para la protección de datos, así como colaborar con las autoridades de supervisión. Por lo tanto, el empleado que actúe como Responsable de Protección de Datos no debe ser despedido ni penalizado debido al cumplimiento de sus tareas. A pesar de su función de monitoreo, la empresa misma sigue siendo responsable de cumplir con las leyes de protección de datos. Por lo tanto, debe involucrar al Responsable de Protección de Datos en todos los asuntos relacionados con la protección de datos personales «adecuadamente y en un momento oportuno». Cuando se nombra a un Responsable de Protección de Datos, su superior debe publicar sus datos de contacto y comunicar su designación y datos de contacto a las autoridades de supervisión de protección de datos. Si una empresa nombra voluntariamente a un Responsable de Protección de Datos, también debe adherirse a los criterios y disposiciones descritos anteriormente. También hay que señalar que la falta intencional o negligente de nombrar a un Responsable de Protección de Datos a pesar de una obligación legal es una infracción sujeta a multas.