Consulta AEPD sobre formación recomendada a los Delegados Protección de Datos
En relación con su consulta, recordar antes de nada que es el responsable del tratamiento quien está obligado a garantizar y ser capaz de demostrar que el tratamiento se realiza de conformidad con el RGPD, incluida la obligación de designar un DPD en los casos que sean preceptivos; esto es, el cumplimiento de las normas en materia de protección de datos es responsabilidad del responsable del tratamiento, entre ellas las que se impone en relación con las funciones del DPD y su capacitación profesional.
En este sentido, el artículo 5.2 del RGPD establece que:
«El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 [Principios relativos al tratamiento] y capaz de demostrarlo («responsabilidad proactiva»)».
El DPD es uno de los elementos clave del RGPD, como garante del cumplimiento de la normativa de protección de datos en las organizaciones. Conocido también como DPO (en inglés, Data Protection Officer), deberá contar con conocimientos especializados del Derecho y la práctica de la protección de datos y actuará de forma independiente. Se le atribuyen una serie de funciones reguladas en el artículo 39 del RGPD, entre las que destacan informar y asesorar; así como supervisar el cumplimiento del citado RGPD por parte del responsable o encargado. No obstante,
lo anterior conviene precisar que el RGPD no exige que deba ser un jurista, ni que esté certificado, pero sí que cuente con ese conocimiento en Derecho anteriormente citado, de acuerdo con lo estipulado en el apartado 5 del artículo 37; pudiendo ser interno o externo, persona física o persona jurídica especializada en esta materia.
La función del DPD puede ejercerse por lo tanto también en el marco de un contrato de servicios suscrito con una persona física o con una organización ajena a Ia organización del responsable o del encargado del tratamiento. En el caso de un DPD interno es fundamental que «cada miembro de la organización» que ejerza las funciones de DPD cumpla todos los requisitos aplicables de la sección 4 del RGPD, siendo fundamental que nadie tenga un conflicto de intereses y posea la capacitación necesaria citada para ejercer las funciones del puesto.
Puede serle de utilidad asimismo la información disponible en el enlace más abajo detallado, en relación con la obligatoriedad o no de la certificación en el supuesto de un DPD (ya sea interno o externo o de designación obligatoria o voluntaria), precisando que para poder ejercer como DPD no es necesario estar certificado:
https://www.aepd.es/es/derechos-y-deberes/cumple-tus-deberes/medidas-decumplimiento/delegado-de-proteccion-de-datosicertificacion
En definitiva, aunque esta certificación no es obligatoria para poder ejercer como DPD y se pueden ejercer sus funciones propias sin estar certificado bajo éste o cualquier otro esquema, la AEPD ha considerado necesario ofrecer un punto de referencia sobre los contenidos y elementos de un mecanismo de certificación que pueda servir como garantía para acreditar la cualificación y capacidad profesional de los candidatos a DPD. Es por ello que la AEPD ha desarrollado, en colaboración con ENAC, un esquema de certificación de personas destinado a definir el perfil de estos profesionales. Este esquema sigue los criterios internacionales de certificación de personas conforme a la norma ISO 17024 y las entidades de certificación acreditadas por ENAC otorgaran al profesional un certificado que implica un reconocimiento de que tiene las competencias adecuadas para el desarrollo de sus funciones de conformidad con el RGPD siempre y cuando con carácter previo cumpla con unos requisitos y supere un examen. Esta certificación de delegados de protección de datos, se reitera, es voluntaria.
Por último, recordar que el artículo 83.4 del RGPD establece que el incumplimiento del artículo 37 por parte de un responsable (o de un encargado, si fuere el caso) podría tener las consecuencias que en este mismo artículo 83 se determinan, así como lo establecido a su vez en el artículo 58, en especial su apartado 2.i).
Atentamente.
