Domina la figura del Delegado de Protección de Datos (DPD): cuándo su designación es obligatoria, su cualificación profesional, su posición de independencia dentro de la organización y sus funciones de supervisión y asesoramiento. Materia frecuente desde la entrada en vigor del RGPD. Basado en los arts. 37 a 39 del RGPD y 34 a 37 de la LOPDGDD.
⚖️ Fuente: Reglamento (UE) 2016/679 (arts. 37-39) y LO 3/2018 LOPDGDD (arts. 34-37) · BOE-A-2018-16673 · 12 preguntas
Pregunta 1 de 12
Según el art. 37.1 del RGPD, la designación de un Delegado de Protección de Datos es obligatoria cuando:
📖 Art. 37.1 RGPD
Explicación: El art. 37.1.a) impone la designación cuando el tratamiento lo realiza una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.
También es obligatorio designar DPD cuando las actividades principales consistan en operaciones que requieran:
📖 Art. 37.1.b) RGPD
Explicación: El art. 37.1.b) exige DPD cuando las actividades principales consistan en operaciones de tratamiento que requieran observación habitual y sistemática de interesados a gran escala.
El art. 37.5 del RGPD exige que el DPD sea designado atendiendo a:
📖 Art. 37.5 RGPD
Explicación: El art. 37.5 dispone que el DPD será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos.
¿Puede el Delegado de Protección de Datos formar parte de la plantilla del responsable o ser externo?
📖 Art. 37.6 RGPD
Explicación: El art. 37.6 admite que el DPD forme parte de la plantilla del responsable o del encargado o desempeñe sus funciones en el marco de un contrato de servicios (externo).
Respecto a la posición del DPD, el art. 38.3 del RGPD garantiza que:
📖 Art. 38.3 RGPD
Explicación: El art. 38.3 exige que el DPD no reciba ninguna instrucción en lo que respecta al desempeño de sus funciones y que no sea destituido ni sancionado por desempeñarlas, rindiendo cuentas al más alto nivel jerárquico.
Entre las funciones del DPD del art. 39, figura:
📖 Art. 39.1 RGPD
Explicación: El art. 39.1 enumera funciones del DPD: informar y asesorar, supervisar el cumplimiento del RGPD, ofrecer asesoramiento sobre la evaluación de impacto y cooperar con la autoridad de control, actuando como punto de contacto.
El DPD actuará como punto de contacto de la autoridad de control y desempeñará sus funciones prestando la debida atención a:
📖 Art. 39.2 RGPD
Explicación: El art. 39.2 dispone que el DPD desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta su naturaleza, alcance, contexto y fines.
Conforme al art. 38.6 del RGPD, ¿puede el DPD desempeñar otras funciones además de las propias?
📖 Art. 38.6 RGPD
Explicación: El art. 38.6 permite que el DPD desempeñe otras funciones y cometidos, pero el responsable o encargado debe garantizar que no den lugar a conflicto de intereses.
La LOPDGDD, en su art. 34, establece que los responsables y encargados deberán comunicar la designación del DPD a:
📖 Art. 34.3 LOPDGDD
Explicación: El art. 34.3 de la LOPDGDD obliga a comunicar las designaciones, nombramientos y ceses de los DPD a la AEPD o, en su caso, a las autoridades autonómicas de protección de datos, en el plazo de diez días.
Según el art. 35 de la LOPDGDD, el cumplimiento de los requisitos para la designación del DPD podrá acreditarse mediante:
📖 Art. 35 LOPDGDD
Explicación: El art. 35 de la LOPDGDD señala que la cualificación se acreditará, entre otros medios, mediante mecanismos voluntarios de certificación, que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados.
Cuando un afectado presente una reclamación ante el responsable que disponga de DPD, ¿qué prevé el art. 37 de la LOPDGDD?
📖 Art. 37 LOPDGDD
Explicación: El art. 37 de la LOPDGDD prevé que cuando el responsable haya designado DPD, el afectado podrá dirigirse a él antes de reclamar ante la autoridad de control; el DPD comunicará la decisión en el plazo máximo de dos meses.
El responsable y el encargado, conforme al art. 38.1 del RGPD, deben garantizar que el DPD:
📖 Art. 38.1 RGPD
Explicación: El art. 38.1 obliga a garantizar que el DPD participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales, facilitándole los recursos necesarios.