14/2023 INFORME JURÍDICO DE LA AEPD SOBRE LA POSICIÓN JURÍDICA Y FUNCIONES DEL DELEGADO DE PROTECCIÓN DE DATOS14/2023

NORMATIVA APLICABLE

• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.

ABREVIATURAS

• Delegado de Protección de Datos: DPD
• Agencia Española Protección de Datos: AEPD

INTRODUCCIÓN El Gabinete Jurídico de la AEPD ha emitido un informe (N/REF: 0096/2022; N/REF: 0038/2023) tras la consulta de una entidad que aclara diversas cuestiones relativas a la posición jurídica y funciones del DPD. Por ello, a continuación, pasamos a reseñar las conclusiones más relevantes:

• Las funciones del DPD son de asesoramiento (tanto en las evaluaciones de impacto como en cualquier aspecto de las actividades de tratamiento que lleve a cabo) y de supervisión a fin de garantizar el adecuado cumplimiento de la normativa sobre protección de datos personales. De igual manera, podrá inspeccionar los procedimientos relacionados con lo dispuesto en la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) y emitir recomendaciones en el ámbito de sus competencias. A tal fin, tendrá acceso a los datos personales y procesos del tratamiento respetando en su deber de confidencialidad o secreto. El hecho de que sus funciones sean las señaladas no implica que no puedan atribuírsele otras funciones no contempladas expresamente en la normativa, siempre que no intervengan en la toma directa de decisiones relativas a los fines y medios del tratamiento.
• La designación del DPD de datos ha de responder a las exigencias derivadas del principio de independencia en el desarrollo de su actividad, debiendo asegurarse de que no reciba ninguna instrucción en lo que respecta al desempeño de sus funciones y rinda cuentas directamente al más alto nivel jerárquico del responsable o encargado del tratamiento y garantizándose que el desempeño de sus funciones y cometidos no den lugar a conflicto de intereses.
• Cuando el DPD aprecie la existencia de una vulneración relevante en materia de protección de datos, habrá de documentarlo y comunicarlo de forma inmediata a los órganos de administración y dirección del responsable o del encargado del tratamiento.
• El responsable del tratamiento tomará las decisiones atendiendo, o no, al asesoramiento del DPD, pues es quien determina los fines y medios y quien asumirá las posibles consecuencias que para, los derechos y libertades de las personas, pudieran tener los tratamientos que lleva a cabo. En caso de no seguir las recomendaciones emitidas por el DPD, es recomendable documentar los motivos. Ello requiere conocer la actuación desarrollada por el DPD por lo que, el responsable o encargado, deben garantizar su participación en todas las cuestiones relativas a la protección de datos personales, de modo que su opinión sea siempre tenida en cuenta.
• El DPD debe estar protegido contra cualquier decisión que ponga fin a sus funciones, le sea desfavorable o constituya una sanción. Ahora bien, el empresario conserva los poderes que le otorga la normativa laboral para el adecuado cumplimiento y control del contrato de trabajo, que solo se ven modulados en la medida necesaria para garantizar la independencia funcional del DPD, pudiendo ejercerlos dentro del respeto a dicha independencia y de forma que la misma no se vea perjudicada y teniendo en cuenta que el DPD no podrá ser removido ni sancionado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio.
• Corresponde al DPD cooperar con la autoridad de control. Concretamente, cuando el responsable o el encargado del tratamiento designen a un DPD el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la AEPD o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al DPD de la entidad contra la que se reclame. Asimismo, cuando el afectado presente una reclamación ante la AEPD o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al DPD a fin de que este responda en el plazo de un mes.
• En el supuesto de que el responsable del tratamiento tenga dudas sobre la base jurídica que pueda determinar la licitud de un determinado tratamiento deberá consultar a su DPD en los supuestos en que su designación es obligatoria, quien deberá prestarle el asesoramiento preciso. Sólo en el caso de que el DPD tuviera dudas jurídicas sobre el asunto sometido a su consideración que no puedan resolverse con los criterios ya informados por la AEPD o por tratarse de cuestiones nuevas derivadas de la aplicación del nuevo régimen jurídico de protección de datos de carácter personal y que tengan un alcance general en el que resulte conveniente un informe que contribuya a la seguridad jurídica, podrá elevar dicho DPD consulta a la AEPD.
• Como regla general las consultas ante la AEPD deben ser realizadas por el DPD, si bien, en el caso excepcional de que se produzca una cuestión relevante en materia de protección de datos personales que tenga alcance general y no exista un criterio previo de la AEPD y en la cual el responsable o encargado discrepe del criterio de su DPD y tengan razones fundadas para considerar que el mismo no se ajusta a la normativa sobre protección de datos personales, podría formularse la consulta a la AEPD directamente por el propio responsable o encargado.

Si desea ampliar información, puede acceder a los siguientes textos normativos:

• Informe del Gabinete jurídico de la AEPD, pinchando aquí.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, pinchando aquí.
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, pinchando aquí.