Uno de los requisitos normativos es la designación de una persona responsable de garantizar el control interno sobre el tratamiento de datos personales, figura conocida como Delegado de Protección de Datos (DPO). En este artículo analizaremos las obligaciones de la empresa en materia de nombramiento de un DPO, los requisitos aplicables, sus funciones y otras cuestiones vinculadas al control interno del tratamiento de datos personales en el seno de la organización.
1. Nombramiento de los responsables del control interno del tratamiento de datos personales: Las entidades que traten datos personales de particulares tienen la obligación de organizar un sistema de control interno sobre el tratamiento de dichos datos. Para ello, la empresa puede optar por una de las siguientes vías:
2. Definición de las funciones del DPO y formalización documental: Dependiendo de si se contrata a un empleado específico o si las funciones se asignan a uno o varios trabajadores actuales, será necesario definir o ampliar sus descripciones de puestos de trabajo. En el caso de incorporar a un especialista en exclusiva, se redactará el perfil de puesto de especialista en implantación del control interno del tratamiento de datos personales y se le instruirá en las normativas aplicables.
Al contratar a un DPO o distribuir sus funciones entre varios empleados, deberán formalizarse los actos de personal correspondientes en el departamento de recursos humanos.
Recomendamos prever con antelación la designación de un empleado suplente que pueda asumir las funciones del DPO durante sus ausencias, el cual deberá recibir la formación adecuada en competencias de protección de datos.
3. Formación del DPO: Al menos una vez cada 5 años, las empresas que hayan designado a un DPO deben organizar la formación de estos empleados en materia de protección de datos personales. Puede enviar al DPO a recibir formación:
Como alternativa, el DPO puede formarse de manera interna en su propia empresa, estudiando los requisitos normativos de protección de datos y superando una evaluación de conocimientos (mediante entrevistas, pruebas u otros métodos). La empresa podrá invitar a expertos externos con habilitación para impartir formación en tratamiento de datos personales.
Formación en el Centro Nacional de Protección de Datos Personales: En determinadas organizaciones, los DPO solo reciben formación en el Centro Nacional de Protección de Datos Personales. Dichas organizaciones incluyen, en particular, bancos y entidades de crédito y financieras no bancarias, compañías de seguros, operadores de telecomunicaciones, agencias inmobiliarias, agencias de selección de personal y empresas que traten los datos personales de al menos 10.000 personas físicas.
Asimismo, cuando entre las funciones del DPO se encuentre la garantía de la seguridad de la información y la empresa sea titular de sistemas de información —con excepción de aquellos operados por residentes del Parque de Altas Tecnologías (HTP) en actividades de cadena de bloques o desarrollados con la participación de residentes del HTP—, será obligatorio formar al DPO en el Centro Nacional de Protección de Datos Personales al menos una vez cada tres años.
4. Obligaciones de información y reporting de la empresa sobre el DPO: Anualmente, antes del 15 de noviembre, las empresas deben remitir al Centro Nacional de Protección de Datos Personales la siguiente información:
Asimismo, en los casos en que la empresa esté inscrita en el Registro de Operadores de Datos Personales, se debe incorporar al Registro la información sobre el DPO: sus apellidos, nombre, patronímico, teléfono de contacto y dirección de correo electrónico. Le recordamos que no todas las empresas que tratan datos personales necesitan inscribirse en el Registro. Existen determinados supuestos en los que una empresa debe registrarse en este Registro. En particular, cuando trate datos personales biométricos y genéticos, o los datos personales de más de 100.000 personas físicas.
El ámbito de competencias del DPO es amplio e incluye, en particular:
A la hora de elegir a un candidato a DPO y definir sus funciones, resulta de gran utilidad valorar diversas circunstancias:
1. Evitar conflictos de intereses: Recomendamos no designar como DPO a personas que participen directamente en el tratamiento operativo de los datos personales. De lo contrario, se incurriría en un conflicto de intereses al tener que fiscalizar su propia actividad. Tal conflicto también se produce cuando el DPO y el personal operativo pertenecen al mismo departamento.
2. Descartar la figura del autónomo externo (freelancer) como DPO: Aunque existen diversas fórmulas, por regla general un empleado en plantilla muestra mayor compromiso que un prestador de servicios vinculado por un contrato civil. Además, el control interno exige un grado profundo de inmersión en los procesos de negocio y acceso a información amparada por secreto comercial. Conforme al criterio de la autoridad de control, el DPO debe ser un trabajador contratado por cuenta ajena.
3. Tenga en cuenta los requisitos de cualificación del puesto: El perfil de cualificación del puesto de especialista responsable del control interno del tratamiento de datos personales incluye un requisito de titulación: el DPO debe contar con educación superior, independientemente de su experiencia laboral. En el futuro, la experiencia laboral como DPO es fundamental para ascender de categoría a dicho especialista: al menos 2 años para la segunda categoría de cualificación y tres años en la segunda categoría para la asignación de la primera.
4. Segregar funciones técnicas y de control: Aconsejamos asignar a empleados distintos las tareas de seguridad técnica y criptográfica de la información, por un lado, y las de control interno del tratamiento de datos, por el otro. Las primeras exigen formación técnica especializada, requisito no exigible para desempeñar las demás funciones del DPO, que pueden ser asumidas, por ejemplo, por un jurista.
La labor del DPO no se reduce a visitas informales al personal operativo. El control interno del tratamiento de datos constituye un proceso de negocio que debe ser analizado, estructurado y formalizado mediante normativa interna.
El Centro Nacional de Protección de Datos Personales recomienda aprobar un procedimiento local específico sobre control interno del tratamiento de datos, elaborado a partir de las políticas y normativas internas de la empresa.
El control interno puede adoptar la forma de supervisiones periódicas de los departamentos de la empresa o auditorías e inspecciones no planificadas.
Las supervisiones ordinarias se ejecutan semestralmente con arreglo a un plan anual previamente aprobado.
Las inspecciones no planificadas son ordenadas por la dirección de la compañía. Para su realización, el DPO determina:
Nuestros abogados y especialistas en seguridad de la información cuentan con experiencia en el control interno del tratamiento de datos personales y en la protección de la información relativa a estos datos.
Podemos:
Si tiene cualquier consulta o controversia sobre los objetivos y funciones del DPO, estaremos encantados de ayudarle. Nuestra dilatada experiencia en derecho corporativo y fiscal le ayudará a resolver cualquier disputa en este ámbito.
Cualquier empresa que trate datos personales de ciudadanos de la Unión Europea (UE) debe conocer las complejidades del Reglamento General de Protección de Datos (RGPD) en el sector de las TI en Bielorrusia. Mantener los estándares legales y éticos en la gestión de datos requiere comprender y cumplir los principios del RGPD para evitar multas […]
La lectura detenida del contrato de servicios de caja y tesorería suscrito con el banco es fundamental, ya que permite comprender todas las condiciones y normas que regularán su relación con la entidad. No comprender o pasar por alto estas condiciones puede acarrear problemas y dificultades en el futuro. El contrato bancario de servicios de […]
Para un acreedor extranjero, ver las palabras «en quiebra» junto al nombre de un deudor bielorruso es un golpe duro. La reacción natural es pensar que el dinero se ha perdido y que se ha cerrado la puerta a cobrar lo que se le debe. Esa reacción es completamente errónea y es precisamente así como […]
