Isabel Mascaró Currás

Compliance Officer, Delegada de Protección de Datos y Vocal ENATIC.

El Delegado de Protección de Datos (DPD), centrándome exclusivamente en el sector privado, se erige en la figura clave para impulsar el cumplimiento de la normativa de protección de datos, tanto en aquellos supuestos de nombramiento obligatorio como voluntario.

Como todo “oficio” de nuevo cuño, el éxito de la implantación de la figura del DPD pivota en factores de diversa índole, todos ellos necesarios, que dependen unas veces del responsable del tratamiento y, otras veces, de las cualidades y aptitudes del propio DPD. Veamos:

Factores que dependen del responsable del tratamiento

Resulta imprescindible que el DPD esté investido de “autoridad jerárquica” y a ello contribuye:

• Compromiso firme de cumplimiento por la alta dirección, garantía de autonomía e independencia en el desarrollo de sus funciones, reporte directo a la alta dirección, dotación de recursos y medios suficientes.

• Aprobación y difusión de un estatuto con la descripción de las funciones que corresponden al DPD, estableciendo de manera expresa la obligación de consultar y, correlativamente, la disponibilidad y accesibilidad que se espera del DPD, aclarando que la responsabilidad ante posibles sanciones no es atribuible al DPD sino que lo es, únicamente, al responsable del tratamiento.

• Gobernanza de los datos: Aprobación y difusión de políticas, protocolos y procedimientos para garantizar la gestión proactiva, adaptados a la realidad organizativa y a los tratamientos realizados por el responsable; publicitar interna y externamente el canal del DPD; creación de un grupo multidisciplinar con los departamentos que habitualmente tratan datos personales en el desarrollo de sus funciones.

Factores que dependen del DPD

Para no ser percibido únicamente como una figura de control (que lo es) pero ajena al día a día o, lo que es peor, como una suerte de “paralizador sistemático de proyectos”, resulta imprescindible que el DPD esté investido de “autoridad moral” y a ello contribuye:

• Conocimiento profundo de la organización y de la realidad de la actividad desarrollada por el responsable del tratamiento, contribuyendo a “aterrizar” la normativa: La revisión ordinaria o extraordinaria del registro de actividades de tratamiento, de los planes de acción derivados del análisis de riesgos o de las evaluaciones de impacto de privacidad son momentos óptimos para conectar y detectar aspectos de mejora, cambios relevantes o inquietudes planteadas por los profesionales que tratan datos personales.

• Impulsar una cultura de cumplimento de la normativa de protección de datos: Adaptar la formación a la realidad de cada profesional con conceptos claros, precisos y ejemplos prácticos; difusión personalizada mediante el envío de píldoras informativas, recopilatorio semanal de noticias destacadas y su relación con aspectos del día a día o, resumen de resoluciones e informes relevantes por ámbitos de actividad de tratamiento, concretando propuestas de mejora.

• Empatizar, mostrarse accesible y generar confianza: Evitar discursos del tipo “las sanciones pueden ascender a 20 millones de € o al 4% de la facturación”, lo sabemos y tiene un cierto efecto paralizante. El discurso debe focalizarse en lo que puede (y debe) hacerse, conceptos como la prevención, la detección y mitigación del riesgo, el hecho que siempre es mejor consultar a tiempo que generar un problema y, en resumen, que debe contarse con el DPD desde la fase de diseño, por cuanto “el RGPD no prohíbe, indica el camino” y la función del DPD es ayudar a descubrir y concretar ese camino.

La suma de los anteriores factores contribuye, sin duda, a lograr que la protección de datos no sea percibida como “cosa” del DPD, sino que sea asumida como un compromiso por parte de todos y cada uno de los profesionales que integran la estructura del responsable del tratamiento y, de esa manera, llegar a buen puerto.