Delegado de protección de datos

El mapa del tema

El artículo enumera entidades sujetas a designación, entre ellas colegios profesionales, centros docentes, entidades financieras, aseguradoras, empresas de inversión, distribuidores de energía, centros sanitarios, operadores de juego, empresas de seguridad privada y determinadas federaciones deportivas. (art. 34)

Artículo 34: supuestos de designación obligatoria

El artículo 34 obliga a responsables y encargados a designar delegado en los supuestos del artículo 37.1 del Reglamento (UE) 2016/679 y, adicionalmente, cuando se trate de cualquiera de las entidades enumeradas expresamente. (art. 34)

Al cumplir las obligaciones de designación, responsables y encargados pueden establecer que el delegado tenga dedicación completa o parcial. Entre los criterios mencionados figuran el volumen de tratamientos, la categoría especial de los datos y los riesgos para interesados. (art. 34)

Artículo 35: acreditación de cualificación

El artículo 35 permite demostrar el cumplimiento de los requisitos para designar delegado mediante mecanismos voluntarios de certificación. Estos mecanismos consideran particularmente la obtención de una titulación universitaria sobre derecho y práctica de protección de datos. (art. 35)

La regla sobre demostración de requisitos de designación se aplica tanto cuando el delegado sea una persona física como cuando sea una persona jurídica. La certificación es un medio posible, no el único medio expresamente contemplado. (art. 35)

Artículo 36: acceso a datos y procesos

En el ejercicio de sus funciones, el delegado tiene acceso a los datos personales y a los procesos de tratamiento. El responsable o encargado no puede oponer al acceso ningún deber de confidencialidad o secreto. (art. 36)

Cuando el delegado aprecie una vulneración relevante en protección de datos, debe documentarla y comunicarla inmediatamente a los órganos de administración y dirección del responsable o encargado del tratamiento. (art. 36)

Artículo 37: respuesta al afectado

Si el afectado se dirige previamente al delegado de protección de datos, este debe comunicarle la decisión adoptada. El plazo máximo para esa comunicación es de dos meses desde la recepción de la reclamación. (art. 37)

La Agencia Española de Protección de Datos o la autoridad autonómica puede remitir la reclamación al delegado para que responda. Si no comunica la respuesta a la autoridad en un mes, esta continúa el procedimiento conforme al Título VIII. (art. 37)

Trampas de examen

• No debe afirmarse que solo las entidades de la lista del artículo 34 están obligadas a designar delegado. El precepto también incluye los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679. (art. 34)
• La excepción relativa a centros sanitarios no alcanza a todos los profesionales de la salud. Se refiere únicamente a quienes, pese a mantener historias clínicas, ejerzan su actividad a título individual. (art. 34)
• El artículo 35 no impone la certificación como requisito exclusivo de acreditación. Indica que el cumplimiento de los requisitos puede demostrarse, entre otros medios, mediante mecanismos voluntarios de certificación. (art. 35)
• La prohibición de remover o sancionar al delegado integrado en la organización no es absoluta. El artículo contempla una excepción cuando incurra en dolo o negligencia grave en el desempeño de sus funciones. (art. 36)
• No deben confundirse los plazos de dos meses y un mes. El primero corresponde a la respuesta al afectado que acude previamente al delegado; el segundo, a la respuesta del delegado tras remisión de la autoridad. (art. 37)

Chuleta final

• Memoriza diez días para comunicar designaciones, nombramientos y ceses del delegado a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas competentes. (art. 34)
• La lista de delegados no corresponde únicamente a la Agencia Española de Protección de Datos. Las autoridades autonómicas también la mantienen dentro de sus competencias y debe ser accesible electrónicamente. (art. 34)
• Para recordar la cualificación, asocia certificación voluntaria con especial atención a una titulación universitaria que acredite conocimientos especializados tanto jurídicos como prácticos en protección de datos. (art. 35)
• El delegado es interlocutor del responsable o encargado ante la Agencia Española de Protección de Datos y las autoridades autonómicas. Esta posición se suma a la posibilidad de inspeccionar procedimientos y emitir recomendaciones. (art. 36)
• Para el delegado persona física integrada en la organización, la garantía exigida es su independencia. Como regla asociada, deben evitarse los conflictos de intereses dentro de la organización. (art. 36)
• El acceso funcional del delegado prevalece frente a la alegación de confidencialidad o secreto por responsable o encargado. El precepto incluye expresamente el deber de confidencialidad previsto en el artículo 5. (art. 36)
• La intervención previa del delegado antes de acudir a la autoridad es una posibilidad del afectado, no una carga obligatoria. El artículo utiliza la expresión podrá dirigirse al delegado de la entidad reclamada. (art. 37)
• Si la reclamación fue remitida al delegado por una autoridad y este no comunica su respuesta en el plazo fijado, la consecuencia es que la autoridad continúa el procedimiento legalmente establecido. (art. 37)

Preguntas frecuentes