Una aproximación a la figura del Oficial de Protección de Datos

Con la expedición del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (27 de abril de 2016) - Reglamento General de Protección de Datos (RGPD), que entró en vigencia en el año 2018, se introdujo la figura del Oficial de Protección de Datos (OPD) cuya regulación se encuentra en los artículos 37 a 39 de tal reglamento.  Esta figura es la encargada de proteger, impulsar, supervisar el cumplimiento de las normas sobre protección de datos personales al interior de una entidad, tanto pública como privada.

En las Directrices [1] sobre delegados de protección de datos (u Oficial de Protección de Datos), se desarrollan los lineamientos acerca del contenido de dichos artículos.

A continuación, un sucinto resumen de los aspectos más relevantes del Oficial de Protección de datos:

a)     Designación

 En el artículo 37 del RGPD se indica que la designación del OPD es efectuada por el responsable[2] o el encargado[3] del tratamiento para todas las operaciones de tratamiento que efectúen y es obligatoria en tres casos:

 (i) cuando el tratamiento lo lleve a cabo una autoridad u organismo público,

(ii) cuando las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance o fines, requieran una observación habitual y sistemática de interesados a gran escala o

(iii) cuando las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales o de datos relativos a condenas e infracciones penales.

Cabe señalar que es posible que la designación del OPD sea voluntaria, en cuyo caso se le aplicarán las disposiciones de los artículos 37 a 39. Independientemente que su designación sea voluntaria u obligatoria, las Directrices recomiendan que las empresas informen a sus empleados el nombre y datos de contacto del OPD.

De otro lado, también se permite que los grupos empresariales puedan designar un único OPD siempre que se encuentre accesible desde cada establecimiento.

La designación del OPD requiere que éste reúna una serie de habilidades relacionadas con la protección de datos personales, como su nivel de conocimientos, sus cualidades profesionales, capacidad para desempeñar sus funciones.

b)    Posición

 El artículo 38 del RGPD establece que son el responsable y el encargado del tratamiento los que garantizan que el OPD “…participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales”.  Esto supone que deben implicarse en los proyectos de la empresa en los que se requiera el tratamiento de datos personales.

 En línea con lo anterior, a manera de ejemplo, la Directiva recomienda lo siguiente:

• Invitar al OPD a participar con regularidad en reuniones con los directivos.
• Se recomienda que esté presente cuando se toman decisiones con implicaciones para la protección de datos.
• La opinión del OPD debe ser tomada en cuenta siempre. En caso de desacuerdo, se debe documentar los motivos por los que no se sigue su consejo.
• Se debe consultar al OPD con prontitud una vez que se haya producido una violación de la seguridad de los datos o cualquier otro incidente.
• Cuando sea pertinente, el responsable o el encargado del tratamiento podría elaborar directrices o programas sobre la protección de datos que determinen cuándo debe consultarse al DPD.

 Un aspecto importante es el grado de autonomía que el Reglamento reconoce al OPD, se señala que el responsable y el encargado del tratamiento deben garantizar éste no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones; se indica también que debe rendir cuentas directamente al más alto nivel jerárquico del responsable o encargado del tratamiento de datos; sin embargo, éstos siguen siendo responsable del cumplimiento de la normativa sobre protección de datos y deben poder demostrarlo.

Otro aspecto saltante es el conflicto de intereses que puede surgir al interior de la empresa, pues no se exige que el OPD tenga dedicación exclusiva, puesto que se señala que puede desempeñar otras funciones; por tal razón la Directiva, dependiendo de las actividades, tamaño y estructura de la organización, recomienda los siguiente:

• Se determinen los puestos que podrían ser incompatibles con la función de OPD;
• Se elaboren normas internas a tal efecto con el fin de evitar conflictos de intereses;
• Se incluyan una explicación más general sobre los conflictos de intereses;
• declaren que su DPD no tiene ningún conflicto de intereses con respecto a sus funciones como DPD, como medio de concienciar sobre este requisito;
• Se incluyan salvaguardias en las normas internas de la organización y garanticen que el anuncio de convocatoria para el puesto de OPD o el contrato de servicios sea lo suficientemente preciso y detallado para evitar un conflicto de intereses. En este contexto, debe tenerse en cuenta también que los conflictos de intereses pueden adoptar diversas formas en función de si el OPD se contrata interna o externamente.

 Finalmente, la legislación protege al OPD de una posible destitución en el ejercicio de sus funciones, se señala “…no será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones”, evidentemente esta protección no aplica por motivos diferentes a su desempeño.

c)    Funciones

 De acuerdo con el artículo 39 del RGPD, el OPD tendrá como mínimo las siguientes funciones: 

• Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del RGPD;
• Supervisar el cumplimiento de lo dispuesto en el RGPD, y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades,
• La concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
• Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;
• Cooperar con la autoridad de control y actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.

Como parte de sus funciones se encuentra la de prevenir los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento. De acuerdo con la Directiva, esta función supone que se deben priorizar las actividades que representen mayores riesgos, evidentemente sin descuidar las de menor riesgo; asimismo, indica que un aspecto relevante es la metodología que debe ser utilizada cuando se evalúen los impactos relativos a la protección de datos, o en el caso de auditorías debe determinarse cuál sería el ámbito de revisión o las necesidades de formación tanto para el personal como para los directivos. 

En nuestro país la regulación sobre protección de datos personales se dio con la Ley 29733 en el año 2011 y su reglamento se expidió en el año 2013 mediante el Decreto Supremo Nº 003-2013-JUS.

Como es de conocimiento, la figura del OPD no existe en nuestra legislación. Tal como lo indica Diego Zegarra[4] lo más cercano es el “responsable de seguridad del banco de datos personales” que se encuentra previsto en la Directiva de Seguridad[5]:  “El titular del banco de datos personales debe designar un responsable de seguridad del banco de datos personales, quien coordinará en la institución la aplicación de la presente directiva. El rol de responsable de seguridad del banco de datos personales debe asignarse a una persona que tenga las capacidades y autoridad necesaria para el desarrollo de sus funciones. Cuando dicha designación no exista, se entiende que el rol de responsable de seguridad del banco de datos personales recae en el titular del banco de datos personales.”

Cabe señalar que la seguridad informática es solo un aspecto de la protección de datos, por lo que el responsable de seguridad es solamente el encargado de implementar las medidas de seguridad de los bancos de datos personales de los titulares y de acuerdo con nuestra legislación su designación es voluntaria.

Consideramos que la figura del OPD es muy valiosa y resulta necesaria su incorporación en nuestra legislación debido a que sus funciones se encuentran orientadas a la implementación, difusión, seguimiento, supervisión de los temas de protección de datos. Es preciso evidenciar que, en la actualidad, si bien las empresas han tomado conciencia de la importancia del manejo de los datos personales, tanto de clientes como de sus trabajadores, lo cierto es que aún no llega a tener la relevancia que el tema requiere.

Un OPD designado por la Alta dirección de empresas, privadas y públicas, con autonomía e independencia estará en capacidad de implementar, en éstas, un sistema robusto de protección de datos personales, una suerte de Oficial de Cumplimiento de Datos personales, pues actualmente los Modelos de Compliance involucran una serie de temas relevantes para las empresas y no solo para aspectos penales; ya que lo que se requiere es detectar y mitigar los riesgos que supone el incumplimiento de normas relevantes para las empresas.