El guardián de tu intimidad se llama Delegado de Protección de datos

Algunas imágenes se nos han quedado grabadas en la retina desde la primera vez que las vimos. Una de ellas, sin duda, es la de la famosa foto Lunch atop a Skyscraper, en la que un grupo de obreros almorzaban en 1932 sentados en una viga del Rockefeller Center de Nueva York, a 260 metros de altura. Cada vez que la vemos nos entra vértigo y nos llevamos las manos a la cabeza pensando en la barbaridad que suponía trabajar en esas condiciones.

Por suerte, los derechos de los trabajadores se fueron reconociendo, hasta que llegó la figura del Técnico de Prevención de Riesgos Laborales, que se encargaba (y se encarga) de cuidar de nuestra seguridad física y de nuestra salud en el entorno laboral. Tardó en afianzarse, puesto que todo cambio cultural necesita su tiempo, pero a estas alturas nadie pone en duda lo imprescindible de su trabajo.

Así, conforme la industria, la tecnología y nuestros derechos avanzan, van surgiendo nuevas figuras, nuevos perfiles profesionales que cubren las necesidades que se van planteando.

Uno de estos nuevos perfiles es el del Delegado de Protección de datos, que, a día de hoy, todavía se desconoce bastante aunque resulte imprescindible (y obligatorio) en muchas empresas. Así lo ha estimado el Parlamento Europeo, al considerarlo como una figura fundamental y regularlo en el ya famoso RGPD, Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Es decir, para garantizar que nuestro derecho al honor y a la intimidad esté suficientemente protegido y sea respetado por aquellos que disponen de nuestros datos personales.

El papel del Delegado de Protección de datos todavía se desconoce bastante aunque resulte imprescindible (y obligatorio) en muchas empresas

En un mundo global y digitalizado en el que los datos son el nuevo petróleo y en el que la sociedad todavía no ha recibido la educación adecuada para ser consciente de ello y tener las competencias digitales que esta nueva era requiere, es imprescindible que existan estos guardianes de la intimidad, que se encargan de ayudar a las empresas a comprender en profundidad la cultura de la privacidad y la importancia de cumplir con la normativa, no sólo porque sea un requisito legal, sino porque es un tema que afecta a nuestros derechos fundamentales y que ha de ser interiorizado cuanto antes para que todos los ciudadanos estemos protegidos y nuestros derechos no sean vulnerados.

Así, el Delegado de Protección de datos o DPD, como garante del cumplimiento del RGPD, no sólo ayuda a las empresas a cumplir con la norma y proteger nuestros derechos, sino que sirve de puente con los ciudadanos, quienes pueden dirigirse directamente a él para resolver cualquier asunto relacionado con el tratamiento que la empresa en cuestión esté haciendo de sus datos y con la Autoridad de control correspondiente.

El DPD puede ser un trabajador interno de la empresa o un profesional o consultora externa. Para ejercer esta labor libremente y con rigor, la empresa debe respaldar su trabajo, facilitando los recursos necesarios y sin darle ningún tipo de instrucción, garantizando su independencia dentro de la entidad y sin que sea posible sancionarlo en caso de que sus recomendaciones no sean bienvenidas.

Si bien es obligatorio que todas las entidades cumplan con la normativa de protección de datos, no todas ellas están obligadas a contar con la figura del DPD. Sólo lo será en las que el legislador ha entendido que, por su actividad, o por el volumen de datos personales y tratamientos que lleven a cabo, es imprescindible su ayuda.

Se encargan de ayudar a las empresas a comprender en profundidad la cultura de la privacidad y la importancia de cumplir con la normativa

Así, el RGPD indica que serán obligatorios para: a) las autoridades u organismos públicos; b) cuando la actividad principal de la entidad suponga una observación habitual y sistemática de los interesados, a gran escala; c) cuando la actividad principal de la entidad consista en el tratamiento a gran escala de datos sensibles (raza, ideología, datos genéticos, biométricos, salud, etc.).

Por su parte, la Ley Orgánica de Protección de Datos personales y garantía de los derechos digitales que fue aprobada la semana pasada por las Cortes Generales y que adapta el ordenamiento jurídico español al RGPD, desarrolla esos tres supuestos en su art. 34, al incluir un listado con 16 tipos de entidades obligadas entre las que destacaría; los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, incluidas las Universidades. También creo relevante citar, por haberse incluido en la última modificación del Proyecto de Ley,a las empresas de seguridad privada o las federaciones deportivas cuando traten datos de menores de edad. Y finalmente, por el número de entidades afectadas, los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes, con la excepción de aquellos profesionales que ejerzan su actividad a título individual.

Esto significa que, salvo en los casos de consulta privada unipersonal, todos los demás centros sanitarios deberán contar con el correspondiente DPD, incluidas muchas farmacias que probablemente ni lo hayan contemplado.Para estos casos, cabría la posibilidad de acogerse a un DPD compartido, promovido por asociaciones profesionales (sobre todo Colegios Profesionales), para que no les suponga un coste inasumible en algunos casos (farmacias o clínicas pequeñas,etc.).

Esta semana se celebró el primer encuentro del Club de Delegados de Protección de datos de la Asociación Española de la Calidad, donde nos congregamos más de doscientos profesionales. Cada uno con un perfil diferente, pero todos con un mismo objetivo; apoyarnos para que esta nueva profesión se afiance, cale en la sociedad y conseguir que la protección de los datos personales se convierta en una prioridad para todos. Me quedo con una idea que lanzó Javier Villegas Flores y que comparto plenamente: “Nuestra función principal es formar”. De nada sirve establecer procesos y protocolos fantásticos si los ciudadanos y los empleados de las empresas no conocen y valoran en su justa medida la importancia de la protección de los datos personales. Las empresas las componen las personas. Todos y cada uno de nosotros, en nuestros respectivos puestos de trabajo, somos responsables de lo que hacemos, siempre y cuando la empresa nos haya dotado de las herramientas necesarias para desarrollar nuestra labor, entre las que está, sin ninguna duda, la formación. Es el pilar básico para una buena cultura digital en la empresa (que además evitará muchas sanciones).

Esto no ha hecho más que empezar, pero creo que ya estamos despegando. La prueba más clara de ello es el nombramiento de muchos DPD en empresas que a priori no están obligadas y que sin embargo han entendido la importancia de esta figura. Está claro que, pronto, así lo entenderán también muchas otras.

Maite Sanz de Galdeano es abogada especializada en Derecho Digital y nuevas tecnologías en Welaw