Firmas
Olímpico desdén al valor práctico y operativo del delegado de Protección de Datos en el municipio rural
Carlos Blanco critica el desprecio al valor práctico y operativo de un verdadero Delegado de Protección de Datos en el municipio rural.
16/5/2021 06:46
|
Actualizado: 16/5/2021 12:13
|
Para una adecuada metodología del tema debemos definir la figura del Delegado de Protección de Datos conforme a la normativa reguladora sobre las funciones y posición del mismo en el Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPD) concretamente a través de los artículos 37 al 39 RGPD y 34 a 37 de la nueva LOPD.
Definida la regulación propia, analizamos sus funciones conforme al artículo 39 del Reglamento General de Protección de Datos:
1.- El Delegado de Protección de Datos tendrá como mínimo las siguientes funciones:
«a) informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;
«b) supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
«c) ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;
«d) cooperar con la autoridad de control;
«e) actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.
«2.- El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento».
Conforme a lo advertido, destacar cabalmente que este profesional debe informar y asesorar al responsable o al encargado del tratamiento de las obligaciones normativas en protección de datos que les incumban en el seno de la Administración, en este caso en la local, al igual que supervisar el adecuado cumplimiento de las normas sobre protección de datos en la Entidad Local afectada.
Respecto a su nombramiento, resaltar que el legislador europeo, consciente de la dispersión de Administraciones Locales de pequeño tamaño, carentes en muchos casos de medios suficientes para hacer frente a nuevas obligaciones legales, ofrece diversas opciones para los Ayuntamientos rurales.
Así el artículo 37.3 del RGPD posibilita la designación de un único Delegado de Protección de Datos para varias autoridades u organismos públicos, como son las Administraciones Locales, en función de la estructura organizativa y tamaño.
En virtud del antedicho artículo, la Agencia Española de Protección de Datos (en adelante, AEPD), en su Guía Sectorial relativa a la Protección de Datos y Administración Local, sugiere la posibilidad de articular la figura del Delegado de Protección de Datos a través de las Diputaciones Provinciales o la Comunidad Autónoma respectiva, en los Ayuntamientos con población inferior a 20.000 habitantes, lo que, desde nuestro punto de vista, resulta desproporcionado, más teniendo en cuenta que la propia AEPD, en su guía relativa a la adaptación al RGPD para las Administraciones Públicas establece como obligaciones las siguientes:
1.- Designar un Delegado de protección de Datos.
2.- Elaborar el Registro de Actividades de Tratamiento.
3.- Analizar las bases jurídicas de los tratamientos.
4.- Efectuar un análisis de riesgos, analizando, identificando e implantando las medidas técnicas y organizativas necesarias para hacer frente a los riesgos detectados.
5.- Verificar las medidas de seguridad, así como establecer protocolos para gestionar y, en su caso, notificar las brechas de seguridad, todo ello en atención a lo dispuesto en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
6.- Si el tratamiento es de alto riesgo, detallar e implantar un procedimiento para realizar una evaluación de impacto de la privacidad y, si fuera necesario, consultar previamente a la autoridad de control.
A mayor abundamiento, la Administración Local rural debe adecuar los formularios para adaptar el derecho de información a los requisitos del RGPD; adaptar los procedimientos para atender los derechos de los ciudadanos, habilitando medios electrónicos; establecer y revisar los procedimientos para acreditar el consentimiento y garantizar la posibilidad de revocarlo; valorar si los encargados de tratamiento ofrecen garantías de cumplimiento del RGPD y adaptar los contratos elaborados previamente; confeccionar e implantar políticas de protección de datos que contemplen los requisitos del RGPD y poder acreditar su cumplimiento; elaborar y llevar a cabo un plan de formación y concienciación para los empleados.
De igual suerte, el artículo 37.6 del RGPD alude al modo de nombramiento mediante la dualidad opcional de formar parte de la plantilla o mediante contrato de servicios.
La propia AEPD se ha pronunciado en misma línea respecto de los nombramientos del delegado de protección de datos y dicho sea de paso y a nuestro entender, de forma ingenua toda vez que, con esta fórmula, se está obviando el verdadero sentido en la aplicabilidad y filosofía de la normativa europea, pues ya es evidente el resultado nada plausible por parte de las Administraciones Locales rurales de nuestro país.
Por todo ello, consiste práctica habitual de las Administraciones Locales rurales acogerse al amparo prestado por las Diputaciones Provinciales o la Comunidad Autónoma respectiva.
Sin embargo, la praxis actual, poco conocida, se configura bajo el perverso prisma de que, en varias Diputaciones Provinciales de nuestro país, un solo funcionario ha sido nombrado Delegado de Protección de Datos para ejercer sus funciones correspondientes para todos los Ayuntamientos rurales de una provincia. Certeramente algunos de ellos, con más de doscientos Ayuntamientos y a los que, en determinados casos, habría que sumar la totalidad de Entidades Locales Menores, también conformadoras del panorama social.
Siguiendo con misma realidad se evidencian publicaciones en los distintos Boletines Oficiales de la Provincia sobre la materialización de aquellos nombramientos, simplemente testimoniales, puesto que en multitud de casos se incumple la obligación de comunicación de la designación o nombramiento del Delegado de Protección de Datos en el plazo de 10 días a la autoridad de control competente según lo previsto en el artículo 34.3 de la LOPD debido a la ingente cantidad de Administraciones Locales adheridas.
En conclusión, es evidente que buena parte de los mandatarios locales son ajenos a la causa, han acogido e interpretado la protección de datos y la designación del Delegado de Protección de Datos, como una figura retórica al objeto de cumplir un hueco legal.
En definitiva, un auténtico y olímpico desdén al valor práctico y operativo a lo que puede y debe ser el verdadero Delegado de Protección de Datos, en la Administración Local y de forma paladina en el municipio rural.
Otras Columnas por Carlos Franco:
