Normativa y datos
Delegado de protección de datos (DPD)
El delegado de protección de datos (DPD) es la persona, de la plantilla o contratada fuera, que informa y asesora al responsable y al encargado del tratamiento, supervisa que cumplan y atiende a la autoridad de control y a los interesados. Lo regulan los arts. 37 a 39 del RGPD y 34 a 37 de la LOPDGDD.
También se le llamaDPD · DPO · data protection officer
Cuándo es obligatorio y qué hace
El RGPD lo exige en tres casos (art. 37.1): si trata una autoridad u organismo público; si la actividad principal es observar a personas de forma habitual y sistemática a gran escala; o si es tratar a gran escala categorías especiales, como los datos de salud. La LOPDGDD añade entidades que lo necesitan siempre (art. 34.1), entre ellas los centros docentes de cualquier nivel y las universidades públicas y privadas. Un grupo puede nombrar uno solo si es fácilmente accesible desde cada establecimiento (art. 37.2).
- Informa y asesora al responsable y a su personal, también sobre la evaluación de impacto (art. 39.1).
- Supervisa el cumplimiento, la formación de quien trata datos y las auditorías.
- Es la puerta de los interesados y de la AEPD: un residente puede dirigirse a él (art. 38.4), y la Agencia puede remitirle una reclamación para que conteste en un mes (art. 37.2 de la LOPDGDD).
- No recibe instrucciones sobre sus funciones, rinde cuentas al nivel jerárquico más alto y no puede ser destituido ni sancionado por desempeñarlas (art. 38.3).
- Se comunica a la AEPD en diez días (art. 34.3 de la LOPDGDD), y sus datos de contacto se publican (art. 37.7).
Ojo con esto
Nombrarlo no traslada la responsabilidad, que sigue siendo del responsable del tratamiento (art. 24). Si un colegio mayor o una residencia está en la lista del art. 34 no tiene una respuesta única: depende de su forma jurídica y de su relación con la universidad —integrado, adscrito o independiente—, y conviene resolverlo con el asesor del centro, como dice la guía del RGPD en residencias. Quien no está obligado puede nombrarlo de forma voluntaria, con el mismo régimen (art. 34.2).
Fuentes
Términos relacionados
- RGPDEl RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
- Evaluación de impacto (EIPD)La evaluación de impacto relativa a la protección de datos (EIPD) es el análisis que hace el responsable antes de empezar un tratamiento que probablemente entrañe un alto riesgo para los derechos de las personas: lo describe, valora su necesidad y sus riesgos y fija las medidas para reducirlos (art. 35 del RGPD).