Delegado de Protección de Datos en las Administraciones públicas

Como ya sabemos, el RGPD introduce la figura del Delegado de Protección de Datos y establece los supuestos en los que es obligatorio su nombramiento.

Por su parte, la nueva ley que desarrolla en España el RGPD, la LOPDGDD, también recoge las empresas y entidades que deben nombrar un DPO.

Uno de esos casos en que debe designarse es cuando se trate de Administraciones públicas, tanto en caso en que actúen como responsables o como encargados del tratamiento.

Pero, ¿cómo ejercerá sus funciones el DPO en la Administración pública? Aquí te lo cuento.

DPO en Administraciones públicas

Las funciones y la posición del DPO establecidas en el RGPD sirven tanto para empresas privadas como para el sector público. Pero, en el caso de las Administraciones públicas, pueden existir algunas particularidades del DPO.

En primer lugar, se prevé que pueda designarse un único DPO para varios organismos públicos en función de su tamaño y estructura. Por ejemplo, un DPO designado por una Diputación provincial podría ejercer sus funciones en los Ayuntamientos de esa provincia.

Pero también puede designarse un único DPO para un Ayuntamiento, Ministerio o Consejería.

¿Y cuál será la posición del DPO dentro de esos organismos públicos?

Por las funciones que el DPD debe realizar, lo aconsejable es que este se adscriba a unidades u órganos dentro de esa entidad, con competencias de carácter horizontal. Es decir, que tengan algún tipo de funciones relacionadas.

Y el nivel del puesto desempeñado por el DPO debe ser adecuado para poder relacionarse con la dirección de ese organismo público.

Lo normal es que desarrolle la actividad en esa entidad pública a tiempo completo. En caso de organismos pequeños, como ayuntamientos de pequeñas localidades, el DPO puede compaginar su actividad con otras. Pero siempre evitando que exista un conflicto de intereses.

Existiría un conflicto de intereses, por ejemplo, si realiza funciones como responsable de seguridad de la información ya que, debido a las funciones del DPO como asesor interno, no podría realizar funciones que supongan tomar decisiones sobre la forma en la que van a tratarse los datos.

Formación exigida

En el caso de las Administraciones públicas, se deberán designar como DPO funcionarios públicos que posean conocimientos en Derecho y, especialmente, experiencia en materia de Protección de Datos.

Lo que están haciendo las entidades públicas es formar a sus candidatos para ejercer estas funciones.

Funciones del DPO en el sector público

Ya conocemos las funciones genéricas que corresponden a un DPO y que son la de asesorar, informar sobre las obligaciones en materia de Protección de datos y supervisar el cumplimiento de la normativa.

Pero en el ámbito del sector público, estas funciones se concretan en:

• Garantizar el cumplimiento de principios relativos al tratamiento, como los de limitación de finalidad, minimización o exactitud de los datos
• Identificar de las bases jurídicas que justifican esos tratamientos (consentimiento, contrato o interés legítimo)
• Valorar la compatibilidad de finalidades distintas de las que originaron la recogida inicial de los datos
• Diseño e implantación de medidas de información a los afectados por los tratamientos de datos
• Establecimiento de mecanismos de recepción y gestión de las solicitudes de ejercicio de derechos por parte de los interesados
• Valorar las solicitudes de ejercicio de derechos por parte de los interesados
• Revisar la contratación de encargados de tratamiento, y el contenido de los contratos o actos jurídicos que regulen la relación responsable-encargado
• Diseñar e implantar políticas de protección de datos
• Realizar Auditorías de protección de datos
• Establecimiento y gestión de los registros de actividades de tratamiento
• Efectuar un Análisis de riesgos de los tratamientos realizados
• Implantar las medidas de seguridad adecuadas a los riesgos y naturaleza de los tratamientos
• Determinar los procedimientos de gestión de violaciones de seguridad de los datos, incluida la evaluación del riesgo para los derechos y libertades de los afectados y los procedimientos de notificación de los incidentes de seguridad a la AEPD y a los afectados
• Realizar de evaluaciones de impacto sobre la protección de datos
• Actuar como intermediario entre la entidad pública y la AEPD
• Aplicar programas de formación del personal de la entidad en materia de protección de datos