Abans de respondre a la primera pregunta plantejada, convé conèixer algunes diferències entre un Delegat de Protecció de Dades (“DPD” o, en anglès, “DPO”, que significa: “Data Protection Officer”) i un advocat. Doncs bé, la diferència radica en que el DPD exerceix un rol independent, i ofereix una visió multidisciplinar més enllà de la mera assessoria jurídica. A continuació, en els següents apartats, respondrem a la primera pregunta plantejada, coneixent amb més precisió aquells supòsits en què cal designar un DPD, les funcions que desenvolupa aquest mateix, així com conèixer les relacions del DPD amb els diferents agents, tant dins com fora de la seva organització.
Comencem. El DPD és una figura nova introduïda per la Normativa de protecció de dades per garantir el compliment d'això en una entitat. Pot ser tant una persona física com jurídica, sempre que coincideixi en un perfil d'expert en protecció de dades i, a més, tingui coneixements especialitzats en Dret, tot i que no cal que sigui advocat per a això.
A continuació, després d’aquesta primera aproximació, ara cal saber en quins supòsits opera, i per tant saber si cal la seva designació. Bé, segons la Normativa Serà obligatori el nomenament del DPD quan: (i) el tractament el realitzi un organisme públic; (ii) quan les operacions de tractament impliquin tractaments de grans quantitats de dades personals “Gran escala”, o bé, (iii) aquestes operacions consistissin en el tractament “a gran escala” de categories especials de dades personals (per exemple, de salut, dades genètiques o biomètriques).
Tenint en compte el anterior, si se dan uno de los tres supuestos, entonces dicha designación será obligatoria, independientemente de otros aspectos como el tamaño de la empresa o su sector de actividad, entre otros. Així, sense entrar en el aspecto de la designación, cabe añadir que esta deberá publicar los datos de contacto del DPD, con el fin de establecer claramente el punto de contacto entre la entidad y el interesado; i, además, La designació, la renovació i la destitució del DPD hauran de ser comunicades a l'autoritat de control competent. (per exemple). www.aepd.es).
Per tant, estiguem obligats o no, si volem nomenar un DPD, aquest haurà de realitzar, com a mínim, les funcions següents dins de la seva organització, vegem: (i) informar i assessorar sobre les obligacions derivades de la normativa de protecció de dades, amb una visió multidisciplinària més enllà dels aspectes merament jurídics (per exemple, privacitat des del disseny i per defecte); (ii) supervisar el compliment de forma independent (per exemple, auditor intern), sensibilització i formació del personal en protecció de dades; (iii) assessorament sobre l'Avaluació d'Impacte en matèria de Protecció de Dades Personals; (iv) cooperació amb l'autoritat de control competent; i, (v) servir com a punt de contacte amb aquesta autoritat de control.
En resum, la nostra recomanació és que Informeu bé d'aquesta nova figura, conèixer-lo, i encara més important, que en el moment de triar el DPD, l'empresari, ja sigui com a responsable o com a encarregat del tractament, s'asseguri dels coneixements d'aquest en protecció de dades; per una raó senzilla, ja que una mala pràctica del DPD podria comportar riscos de incompliment, així com crear obstacles que impedissin o retarden l'activitat de l'empresa, i fins i tot la innovació de l'organització. Així doncs, segons el article 83.4 del RGPD, Aquest incompliment pot derivar en infraccions considerades greus i es sanciona amb un termini de dos anys; amb sancions de fins a 10 milions d'euros, o quantitats equivalents al 2% del volum de negoci total anual de la companyia.
Si té dubtes o considera que necessita un delegat de protecció de dades, estarem encantats d'ajudar-lo en aquest sentit.