¿Quién es el Delegado de Protección de Datos?
Desde Letslaw queremos explicar quién es el Delegado Protección de Datos (DPO), figura que está regulada en el nuevo Reglamento General de Protección de Datos (RGPD), normativa que será aplicable a partir del 25 de mayo de 2018.
Para ello, nos basamos en el contenido del nuevo Reglamento y en la guía elaborada por el Grupo de Trabajo del Artículo 29 y que ha sido publicada con intención de marcar unas directrices prácticas para ayudar a las empresas (responsables y encargados del tratamiento), para adaptarse al nuevo marco normativo europeo en protección de datos.
¿En qué casos es necesario nombrar a un DPO?
Según el RGPD, será obligatorio que las empresas que traten datos personales nombren un DPO siempre que se de alguna de las siguientes circunstancias:
- Cuando el tratamiento lo lleva a cabo una autoridad u organismo público
- En caso de que se tratasen a gran escala categorías especiales de datos. Entre estos datos se encuentran: datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
- La actividad principal de la empresa consista en el tratamiento de datos que, por su naturaleza, alcance y/o fines, el seguimiento regular y sistemático de los interesados a gran escala (por ejemplo, empresas de Marketing Digital, big data, etc.).
- En caso de que se tratasen datos relativos a condenas e infracciones penales a gran escala.
¿Qué es un tratamiento requiere una observación habitual y sistemática a gran escala?
Entre los supuestos citados en los que es obligatoria la figura del DPO, se incluyen conceptos ciertamente ambiguos como “observación habitual y sistemática” o “tratamientos a gran escala”, que el Grupo de Trabajo del Artículo 29 ha intentado aclarar en la guía que ha elaborado.
En concreto, respecto de la expresión “seguimiento regular y sistemático de los interesados”, el Grupo de Trabajo propone, varios ejemplos de actividades que pueden conllevar un seguimiento del comportamiento de los interesados, como son: la elaboración y clasificación de perfiles para realizar evaluaciones de riesgos, los programas de fidelización, la publicidad comportamental, seguimiento de ubicación a través de aplicaciones móviles, seguimiento de datos relacionados con el bienestar, como el estado físico y salud recabados mediante dispositivos portátiles (por ejemplo los que se llevan adheridos al cuerpo), el uso de circuitos cerrados de televisión o de dispositivos conectados a Internet (como electrodomésticos o coches inteligentes).
En relación con la expresión “a gran escala”, según el Grupo de Trabajo es un concepto que puede definirse teniendo en cuenta una serie de criterios, como son: el número de sujetos afectados, el volumen de datos tratados y/o el rango de diferentes elementos de datos que se están procesando, la duración o permanencia de la actividad de procesamiento de datos y, la extensión geográfica.
Así, constituirían tratamientos a gran escala:
- Tratamientos datos de pacientes realizados por un hospital en su actividad ordinaria.
- Tratamientos de datos de clientes por una compañía de seguros o un banco
- Tratamientos de datos de tráfico, localización por prestadores de servicios de acceso a Internet o telefonía;
- Tratamiento de datos para llevar a cabo actividades de publicidad comportamental o behavioural advertising mediante motores de búsqueda, entre otros.
