El delegado de protección de datos, los códigos de conducta y la certificación

El delegado habla con la autoridad en nombre de la entidad que lo designa, el responsable o el encargado. No representa a los afectados ni instruye nada para la Agencia, y aunque puede inspeccionar procedimientos internos, lo hace como parte de la entidad, no como agente de la Agencia.

La regla protege al delegado: no puede ser removido ni sancionado por desempeñar sus funciones. La única salvedad es el dolo o la negligencia grave en su ejercicio, y en ese caso quien sanciona es la empresa, no la Agencia. La ley no condiciona la sanción a una autorización de la autoridad ni a un acuerdo interno.

La lista incluye los centros sanitarios obligados a mantener las historias clínicas, pero exceptúa expresamente a los profesionales de la salud que, aun con esa obligación, ejercen su actividad a título individual. El hospital con la misma obligación sí está en la lista, igual que las empresas de seguridad privada y los colegios profesionales con sus consejos generales.

La ley no mira el tamaño de la federación, su ámbito ni su financiación: lo que la obliga es tratar datos de menores. Las otras tres condiciones no aparecen en la lista; son rasgos de una federación grande, que tampoco la obligan por sí solos.

La ley deja al responsable o al encargado decidir si la dedicación es completa o parcial, y le da criterios para hacerlo: el volumen de los tratamientos, si hay datos de categoría especial y los riesgos para los interesados. No pide autorización previa ni distingue entre designación obligatoria y voluntaria.

La ley contempla expresamente que el delegado sea persona física o jurídica, y no limita la segunda al sector público ni a la designación voluntaria. Que esté en la plantilla es solo uno de los casos posibles: por eso la ley regula aparte la protección del delegado que es persona física integrada en la organización.

La ley dice que el afectado «podrá» acudir antes al delegado: es una opción, no un requisito, y no distingue según quién sea el responsable. Tampoco es cierto que el delegado no pueda ocuparse de reclamaciones: si el afectado acude a él, tiene que comunicarle la decisión.

Los aprueba la Agencia Española de Protección de Datos o, cuando le corresponde, la autoridad autonómica competente. El Comité Europeo interviene en algunos proyectos con un dictamen, por el mecanismo de coherencia, pero no los aprueba; la aprobación de la Agencia no necesita que la ratifique ningún ministerio, y quien los promueve los propone, no se los aprueba a sí mismo.

Cuando el afectado acude por su cuenta al delegado, antes de reclamar, el plazo máximo es de dos meses desde que lo recibe. El mes es otro trámite, más corto: el que tiene el delegado cuando es la autoridad la que le remite una reclamación ya presentada ante ella.

El delegado mira hacia dentro: documenta la vulneración y la comunica inmediatamente a los órganos de administración y dirección del responsable o del encargado. Las 72 horas ante la autoridad son de otra norma y de otro sujeto, el responsable que sufre una violación de seguridad, y no el deber que aquí se le pone al delegado.

El plazo de diez días vale igual para la designación obligatoria y para la voluntaria, y alcanza también a los nombramientos y a los ceses. Pensar que la voluntaria no se comunica es el error tentador: la ley lo dice expresamente para los dos casos. El mes y los quince días no son plazos de este trámite.