El delegado de protección de datos, los códigos de conducta y la certificación

El silencio del delegado no resuelve nada, ni a favor ni en contra del afectado, ni cierra el asunto: la autoridad sigue adelante con el procedimiento de su título VIII. La remisión al delegado es una oportunidad de arreglarlo dentro de la entidad, no un trámite que pueda frenar la reclamación.

El delegado mira hacia dentro: documenta la vulneración y la comunica inmediatamente a los órganos de administración y dirección del responsable o del encargado. Las 72 horas ante la autoridad son de otra norma y de otro sujeto, el responsable que sufre una violación de seguridad, y no el deber que aquí se le pone al delegado.

La ley nombra la certificación, y la nombra «entre otros medios»: no es el único camino ni es obligatoria. La titulación universitaria aparece solo como algo que esos mecanismos tienen en cuenta. Ni la colegiación, ni un registro de delegados, ni una prueba de la Agencia están en la ley.

La ley no deja ninguna puerta: el responsable no puede oponer «cualquier» deber de confidencialidad o secreto, e incluye el que la propia ley orgánica impone a quienes tratan datos. Por eso no salva el secreto de otra ley, ni el de los datos más sensibles, ni pide permiso a la Agencia.

La ley deja al responsable o al encargado decidir si la dedicación es completa o parcial, y le da criterios para hacerlo: el volumen de los tratamientos, si hay datos de categoría especial y los riesgos para los interesados. No pide autorización previa ni distingue entre designación obligatoria y voluntaria.

La lista incluye los centros sanitarios obligados a mantener las historias clínicas, pero exceptúa expresamente a los profesionales de la salud que, aun con esa obligación, ejercen su actividad a título individual. El hospital con la misma obligación sí está en la lista, igual que las empresas de seguridad privada y los colegios profesionales con sus consejos generales.

La ley no mira el tamaño de la federación, su ámbito ni su financiación: lo que la obliga es tratar datos de menores. Las otras tres condiciones no aparecen en la lista; son rasgos de una federación grande, que tampoco la obligan por sí solos.

Cuando el afectado acude por su cuenta al delegado, antes de reclamar, el plazo máximo es de dos meses desde que lo recibe. El mes es otro trámite, más corto: el que tiene el delegado cuando es la autoridad la que le remite una reclamación ya presentada ante ella.

Los aprueba la Agencia Española de Protección de Datos o, cuando le corresponde, la autoridad autonómica competente. El Comité Europeo interviene en algunos proyectos con un dictamen, por el mecanismo de coherencia, pero no los aprueba; la aprobación de la Agencia no necesita que la ratifique ningún ministerio, y quien los promueve los propone, no se los aprueba a sí mismo.

La ley dice que el afectado «podrá» acudir antes al delegado: es una opción, no un requisito, y no distingue según quién sea el responsable. Tampoco es cierto que el delegado no pueda ocuparse de reclamaciones: si el afectado acude a él, tiene que comunicarle la decisión.

El plazo de diez días vale igual para la designación obligatoria y para la voluntaria, y alcanza también a los nombramientos y a los ceses. Pensar que la voluntaria no se comunica es el error tentador: la ley lo dice expresamente para los dos casos. El mes y los quince días no son plazos de este trámite.