Artículo 37 del RGPD: designación del delegado de protección de datos

Las preguntas de Administrativo del Estado que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según el RGPD, ¿cuál de estas empresas privadas está obligada a designar un delegado de protección de datos?

Una empresa cuya actividad principal es tratar a gran escala datos penales
Una empresa que tiene más de doscientos cincuenta trabajadores en su plantilla
Una tienda en línea que envía su boletín comercial a todos sus clientes
Una pyme que trata los datos de sus clientes para emitirles las facturas

Al sector privado no le obliga el tamaño, sino lo que trata como actividad principal: la observación habitual y sistemática de interesados a gran escala, o el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales. Los doscientos cincuenta trabajadores no son un criterio del Reglamento para el delegado. Enviar un boletín o facturar son tratamientos accesorios a la actividad de la empresa, no su actividad principal.

las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿qué vínculo puede tener el delegado de protección de datos con el responsable del tratamiento que lo designa?

Solo el de empleado de su plantilla, nunca el de profesional externo
El de empleado de su plantilla o el de un contrato de servicios
Solo el de profesional externo, para que pueda actuar con independencia
El de funcionario de carrera, si el responsable es una Administración pública

El Reglamento admite las dos vías: el delegado puede formar parte de la plantilla del responsable o del encargado, o desempeñar sus funciones con un contrato de servicios. Pensar que tiene que ser externo para ser independiente es el error tentador: su independencia la protegen las garantías que el propio Reglamento da a su posición, sea interno o externo. Tampoco exige un vínculo concreto en el sector público, como el de funcionario de carrera.

El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿en qué caso el tratamiento que lleva a cabo una autoridad u organismo público no obliga a designar un delegado de protección de datos?

Cuando lo realiza un ayuntamiento de menos de veinte mil habitantes censados
Cuando el organismo público no trata categorías especiales de datos
Cuando lo hace un tribunal que actúa en ejercicio de su función judicial
Cuando el organismo ya comparte delegado con otros organismos públicos

En el sector público la regla es general: todo tratamiento de una autoridad u organismo público obliga a designar delegado, sin umbral de población ni de tipo de datos. La gran escala y las categorías especiales son criterios para las actividades principales de los demás responsables, no para el sector público. La única salvedad son los tribunales cuando actúan en ejercicio de su función judicial. Compartir un delegado entre varios organismos públicos está permitido, pero es una forma de cumplir la obligación, no de librarse de ella.

el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿con qué condición puede un grupo empresarial nombrar un único delegado de protección de datos?

Que todas sus empresas estén establecidas en un mismo Estado miembro
Que la autoridad de control lo autorice antes, a petición del grupo
Que ninguna de sus empresas trate categorías especiales de datos
Que el delegado sea fácilmente accesible desde cada establecimiento

Lo único que el Reglamento pide para que un grupo empresarial comparta delegado es la accesibilidad: que se pueda llegar a él fácilmente desde cada establecimiento. No exige que las empresas estén en el mismo Estado, ni una autorización previa de la autoridad de control, ni que los datos tratados sean de una clase determinada.

Un grupo empresarial podrá nombrar un único delegado de protección de datos siempre que sea fácilmente accesible desde cada establecimiento.

Reglamento (UE) 2016/679, de 27 de abril