El delegado de protección de datos, los códigos de conducta y la certificación

La lista incluye los centros sanitarios obligados a mantener las historias clínicas, pero exceptúa expresamente a los profesionales de la salud que, aun con esa obligación, ejercen su actividad a título individual. El hospital con la misma obligación sí está en la lista, igual que las empresas de seguridad privada y los colegios profesionales con sus consejos generales.

La ley contempla expresamente que el delegado sea persona física o jurídica, y no limita la segunda al sector público ni a la designación voluntaria. Que esté en la plantilla es solo uno de los casos posibles: por eso la ley regula aparte la protección del delegado que es persona física integrada en la organización.

La ley nombra la certificación, y la nombra «entre otros medios»: no es el único camino ni es obligatoria. La titulación universitaria aparece solo como algo que esos mecanismos tienen en cuenta. Ni la colegiación, ni un registro de delegados, ni una prueba de la Agencia están en la ley.

La ley no mira el tamaño de la federación, su ámbito ni su financiación: lo que la obliga es tratar datos de menores. Las otras tres condiciones no aparecen en la lista; son rasgos de una federación grande, que tampoco la obligan por sí solos.

La ley permite que acredite a las instituciones de certificación la Entidad Nacional de Acreditación (ENAC), sin quitarle ese poder a la autoridad de control. A cambio, la ENAC tiene que comunicar a las autoridades de protección de datos las acreditaciones que concede, deniega o revoca, y por qué.

La ley deja al responsable o al encargado decidir si la dedicación es completa o parcial, y le da criterios para hacerlo: el volumen de los tratamientos, si hay datos de categoría especial y los riesgos para los interesados. No pide autorización previa ni distingue entre designación obligatoria y voluntaria.

Los aprueba la Agencia Española de Protección de Datos o, cuando le corresponde, la autoridad autonómica competente. El Comité Europeo interviene en algunos proyectos con un dictamen, por el mecanismo de coherencia, pero no los aprueba; la aprobación de la Agencia no necesita que la ratifique ningún ministerio, y quien los promueve los propone, no se los aprueba a sí mismo.

La ley no deja ninguna puerta: el responsable no puede oponer «cualquier» deber de confidencialidad o secreto, e incluye el que la propia ley orgánica impone a quienes tratan datos. Por eso no salva el secreto de otra ley, ni el de los datos más sensibles, ni pide permiso a la Agencia.

El delegado mira hacia dentro: documenta la vulneración y la comunica inmediatamente a los órganos de administración y dirección del responsable o del encargado. Las 72 horas ante la autoridad son de otra norma y de otro sujeto, el responsable que sufre una violación de seguridad, y no el deber que aquí se le pone al delegado.

Cuando el afectado acude por su cuenta al delegado, antes de reclamar, el plazo máximo es de dos meses desde que lo recibe. El mes es otro trámite, más corto: el que tiene el delegado cuando es la autoridad la que le remite una reclamación ya presentada ante ella.

Un código de conducta obliga a quien se adhiere, y solo a él: no se extiende a todo un sector por el hecho de existir. Tampoco es una simple recomendación, porque para el adherido es vinculante. Y no se limita a las Administraciones: queda obligado cualquiera que se adhiera.