La función y la posición del DPD

Cuándo es obligatorio un DPD

El artículo 37 exige un DPD en tres casos: el tratamiento lo lleva a cabo una autoridad u organismo público (salvo los tribunales que actúen en ejercicio de su función judicial); las actividades principales del responsable o del encargado consisten en operaciones de tratamiento que requieren una observación habitual y sistemática de interesados a gran escala; o las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales. El Derecho de un Estado miembro puede exigirlo en otros casos —en España, el artículo 34 de la LOPDGDD enumera entidades obligadas—, y quien lo designe voluntariamente debe aplicar las mismas reglas.

Un grupo empresarial puede nombrar un único DPD si es fácilmente accesible desde cada establecimiento. El DPD puede formar parte de la plantilla o actuar mediante un contrato de servicios, y se designa atendiendo a sus cualidades profesionales y a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos. La organización publica sus datos de contacto y los comunica a la autoridad de control.

Posición: participación, recursos e independencia

• Participa de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales (artículo 38, apartado 1).
• Dispone de los recursos necesarios, del acceso a los datos y a las operaciones de tratamiento y de los medios para mantener sus conocimientos.
• No recibe instrucciones en lo que respecta al desempeño de sus funciones y no puede ser destituido ni sancionado por desempeñarlas.
• Rinde cuentas directamente al más alto nivel jerárquico.
• Puede desempeñar otras funciones siempre que no den lugar a conflicto de intereses.
• Está obligado a mantener el secreto o la confidencialidad.

Funciones del artículo 39

Como mínimo, el DPD informa y asesora a la organización y a sus empleados sobre sus obligaciones; supervisa el cumplimiento del RGPD, de otras normas de protección de datos y de las políticas internas, incluida la asignación de responsabilidades, la concienciación, la formación y las auditorías; asesora sobre las evaluaciones de impacto y supervisa su aplicación; coopera con la autoridad de control y actúa como su punto de contacto. Presta la debida atención a los riesgos asociados a las operaciones de tratamiento.

La responsabilidad del cumplimiento sigue siendo del responsable o del encargado, no del DPD. El DPD asesora; la dirección decide, y debería dejar constancia de por qué no sigue un consejo.