El delegado de protección de datos en el Reglamento, los códigos de conducta y la certificación

• Solo el de empleado de su plantilla, nunca el de profesional externo
• El de empleado de su plantilla o el de un contrato de servicios
• Solo el de profesional externo, para que pueda actuar con independencia
• El de funcionario de carrera, si el responsable es una Administración pública

El Reglamento admite las dos vías: el delegado puede formar parte de la plantilla del responsable o del encargado, o desempeñar sus funciones con un contrato de servicios. Pensar que tiene que ser externo para ser independiente es el error tentador: su independencia la protegen las garantías que el propio Reglamento da a su posición, sea interno o externo. Tampoco exige un vínculo concreto en el sector público, como el de funcionario de carrera.

• Una empresa cuya actividad principal es tratar a gran escala datos penales
• Una empresa que tiene más de doscientos cincuenta trabajadores en su plantilla
• Una tienda en línea que envía su boletín comercial a todos sus clientes
• Una pyme que trata los datos de sus clientes para emitirles las facturas

Al sector privado no le obliga el tamaño, sino lo que trata como actividad principal: la observación habitual y sistemática de interesados a gran escala, o el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales. Los doscientos cincuenta trabajadores no son un criterio del Reglamento para el delegado. Enviar un boletín o facturar son tratamientos accesorios a la actividad de la empresa, no su actividad principal.

• A los que realizan las microempresas y las pequeñas y medianas empresas
• A los que realizan las autoridades y los organismos públicos
• A los que se refieren a actividades en varios Estados miembros
• A los que afectan a categorías especiales de datos personales

El artículo que regula la supervisión de los códigos de conducta por un organismo acreditado excluye expresamente el tratamiento que realizan las autoridades y organismos públicos. Las microempresas y las pymes no quedan fuera: el Reglamento pide tener en cuenta sus necesidades al promover los códigos. Ni los tratamientos en varios Estados ni las categorías especiales de datos se exceptúan.

• Ante la autoridad de control a la que se comunicaron sus datos
• Ante el Comité Europeo de Protección de Datos
• Ante el responsable de seguridad de los sistemas de información de la entidad
• Ante el más alto nivel jerárquico del responsable o del encargado

El delegado rinde cuentas directamente al más alto nivel jerárquico del responsable o del encargado, sin mandos intermedios entre ambos. No depende de la autoridad de control, con la que coopera, ni del Comité Europeo de Protección de Datos, y tampoco se le subordina a otro cargo técnico de la organización, como el de seguridad.

• Las asociaciones representativas de categorías de responsables o encargados
• La Comisión Europea, a propuesta del Comité Europeo de Protección de Datos
• La autoridad de control de cada Estado miembro, para su propio territorio
• Cada responsable del tratamiento, para sus propias operaciones de tratamiento

Los códigos los elaboran, modifican o amplían las asociaciones y otros organismos que representan a categorías de responsables o encargados del tratamiento. Los Estados miembros, las autoridades de control, el Comité y la Comisión promueven su elaboración, pero no los escriben: esa es la confusión que hay que evitar. Un responsable por sí solo no hace un código para sus tratamientos: se adhiere a uno.

• La exime de responder de las infracciones cometidas en los tratamientos certificados
• La traslada al organismo de certificación que expidió la certificación
• La sustituye por el deber de mantener vigente la certificación
• No la limita: la empresa sigue respondiendo del cumplimiento del Reglamento

Certificarse sirve para demostrar el cumplimiento, no para sustituirlo: la certificación no limita la responsabilidad del responsable o del encargado en cuanto al cumplimiento del Reglamento, ni las funciones y poderes de las autoridades de control, y tampoco la cambia por el deber de mantener la certificación vigente. El organismo de certificación responde de evaluar bien, sin que eso le quite a la empresa la suya: por eso no se traslada.

• Realizarla él mismo, en nombre y por cuenta del responsable del tratamiento
• Aprobarla antes de que pueda empezar el tratamiento evaluado
• Asesorar acerca de ella cuando se le pida y supervisar su aplicación
• Firmarla junto al responsable, que responde con él de su contenido

La evaluación de impacto es una obligación del responsable, no del delegado: a este le toca ofrecer el asesoramiento que se le solicite sobre ella y supervisar su aplicación. Hacerla él mismo es el error tentador, porque confunde a quien asesora con quien decide. Tampoco la aprueba ni la firma para compartir su responsabilidad: ninguna de esas es una función suya.

• Que todas sus empresas estén establecidas en un mismo Estado miembro
• Que la autoridad de control lo autorice antes, a petición del grupo
• Que ninguna de sus empresas trate categorías especiales de datos
• Que el delegado sea fácilmente accesible desde cada establecimiento

Lo único que el Reglamento pide para que un grupo empresarial comparta delegado es la accesibilidad: que se pueda llegar a él fácilmente desde cada establecimiento. No exige que las empresas estén en el mismo Estado, ni una autorización previa de la autoridad de control, ni que los datos tratados sean de una clase determinada.

• Por cinco años, renovable si se siguen cumpliendo los criterios
• Por cinco años, sin que pueda renovarse al terminar ese período
• Por tres años, sin que pueda renovarse al terminar ese período
• Por tres años, renovable si se siguen cumpliendo los criterios

La certificación se expide por un período máximo de tres años y puede renovarse en las mismas condiciones mientras se sigan cumpliendo los criterios; si se dejan de cumplir, se retira. Las opciones combinan dos cifras con dos condiciones, y solo una acierta las dos: tres años y renovable.