El delegado de protección de datos en el Reglamento, los códigos de conducta y la certificación

• Por cinco años, renovable si se siguen cumpliendo los criterios
• Por cinco años, sin que pueda renovarse al terminar ese período
• Por tres años, sin que pueda renovarse al terminar ese período
• Por tres años, renovable si se siguen cumpliendo los criterios

La certificación se expide por un período máximo de tres años y puede renovarse en las mismas condiciones mientras se sigan cumpliendo los criterios; si se dejan de cumplir, se retira. Las opciones combinan dos cifras con dos condiciones, y solo una acierta las dos: tres años y renovable.

• Por tres años, renovable si el organismo sigue cumpliendo los requisitos
• Por cinco años, renovable si el organismo sigue cumpliendo los requisitos
• Por dos años, renovable si el organismo sigue cumpliendo los requisitos
• Por diez años, renovable si el organismo sigue cumpliendo los requisitos

La acreditación de un organismo de certificación dura como máximo cinco años y puede renovarse en las mismas condiciones si el organismo sigue cumpliendo los requisitos; si deja de cumplirlos, se le revoca. Las demás cifras no son las que el Reglamento fija para la acreditación.

• Cuando lo realiza un ayuntamiento de menos de veinte mil habitantes censados
• Cuando el organismo público no trata categorías especiales de datos
• Cuando lo hace un tribunal que actúa en ejercicio de su función judicial
• Cuando el organismo ya comparte delegado con otros organismos públicos

En el sector público la regla es general: todo tratamiento de una autoridad u organismo público obliga a designar delegado, sin umbral de población ni de tipo de datos. La gran escala y las categorías especiales son criterios para las actividades principales de los demás responsables, no para el sector público. La única salvedad son los tribunales cuando actúan en ejercicio de su función judicial. Compartir un delegado entre varios organismos públicos está permitido, pero es una forma de cumplir la obligación, no de librarse de ella.

• A los que realizan las microempresas y las pequeñas y medianas empresas
• A los que realizan las autoridades y los organismos públicos
• A los que se refieren a actividades en varios Estados miembros
• A los que afectan a categorías especiales de datos personales

El artículo que regula la supervisión de los códigos de conducta por un organismo acreditado excluye expresamente el tratamiento que realizan las autoridades y organismos públicos. Las microempresas y las pymes no quedan fuera: el Reglamento pide tener en cuenta sus necesidades al promover los códigos. Ni los tratamientos en varios Estados ni las categorías especiales de datos se exceptúan.

• Realizarla él mismo, en nombre y por cuenta del responsable del tratamiento
• Aprobarla antes de que pueda empezar el tratamiento evaluado
• Asesorar acerca de ella cuando se le pida y supervisar su aplicación
• Firmarla junto al responsable, que responde con él de su contenido

La evaluación de impacto es una obligación del responsable, no del delegado: a este le toca ofrecer el asesoramiento que se le solicite sobre ella y supervisar su aplicación. Hacerla él mismo es el error tentador, porque confunde a quien asesora con quien decide. Tampoco la aprueba ni la firma para compartir su responsabilidad: ninguna de esas es una función suya.

• Ante la autoridad de control a la que se comunicaron sus datos
• Ante el Comité Europeo de Protección de Datos
• Ante el responsable de seguridad de los sistemas de información de la entidad
• Ante el más alto nivel jerárquico del responsable o del encargado

El delegado rinde cuentas directamente al más alto nivel jerárquico del responsable o del encargado, sin mandos intermedios entre ambos. No depende de la autoridad de control, con la que coopera, ni del Comité Europeo de Protección de Datos, y tampoco se le subordina a otro cargo técnico de la organización, como el de seguridad.

• Sí, si el responsable garantiza que no den lugar a conflicto de intereses
• No, el cargo de delegado es incompatible con cualquier otro cometido
• Sí, pero solo cuando su dedicación al cargo de delegado sea parcial
• Sí, pero solo las del área de seguridad de la información de la entidad

El Reglamento permite que el delegado tenga otras funciones y cometidos, con un límite: que no den lugar a conflicto de intereses, y es el responsable o el encargado quien tiene que garantizarlo. No declara el cargo incompatible con todo, no ata la compatibilidad al tipo de dedicación ni la limita a un área concreta de la organización.

• El Comité Europeo de Protección de Datos, mediante un dictamen
• La autoridad de control que lo aprobó, al registrarlo y publicarlo
• La Comisión Europea, mediante actos de ejecución
• El Consejo de la Unión Europea, mediante una recomendación

Cuando el código afecta a varios Estados miembros, el Comité dictamina si es conforme con el Reglamento y presenta su dictamen a la Comisión; quien puede darle validez general en la Unión es la Comisión, con actos de ejecución. El dictamen del Comité es un paso previo, no la decisión. Registrar y publicar el código es lo que hace la autoridad de control cuando no se refiere a tratamientos en varios Estados.

• Una empresa cuya actividad principal es tratar a gran escala datos penales
• Una empresa que tiene más de doscientos cincuenta trabajadores en su plantilla
• Una tienda en línea que envía su boletín comercial a todos sus clientes
• Una pyme que trata los datos de sus clientes para emitirles las facturas

Al sector privado no le obliga el tamaño, sino lo que trata como actividad principal: la observación habitual y sistemática de interesados a gran escala, o el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales. Los doscientos cincuenta trabajadores no son un criterio del Reglamento para el delegado. Enviar un boletín o facturar son tratamientos accesorios a la actividad de la empresa, no su actividad principal.