Jornadas Técnicas La figura del Data Protection Officer (DPO)

Transcripción

1 Jornadas Técnicas 2014 La figura del Data Protection Officer (DPO) Julián Prieto Hergueta Subdirector General del Registro General de Protección de Datos 1

2 Directiva 95/46/CE MARCO NORMATIVO Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) Reglamento de desarrollo de la LOPD, aprobado por el R. D. 1720/2007, de 21 de diciembre (RLOPD) FUTURO REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS DE LA UE Propuesta Comisión 25/01/2012: COM(2012) 11 final Informe Parlamento Europeo 12/03/2014: COM (2012)0011 C7-0025/ /001(COD) 2

3 EL DELEGADO DE PROTECCIÓN DE DATOS (DPO) FIGURA CONTEMPLADA EN LA DIRECTIVA 95/46 (art. 18): Hacer aplicar en la organización, de manera independiente, la normativa de protección de datos Llevar un registro de los tratamientos efectuados por el responsable que contenga: Nombre y dirección responsable y, en su caso, su representante Objetivos del tratamiento Interesados y datos objeto de tratamiento Destinatarios de los datos Transferencias internacionales de datos previstas CARÁCTER OPCIONAL EXCEPCIÓN NOTIFICACIÓN TRATAMIENTOS NO REGULADA EN ÁMBITO NACIONAL EXISTE EN ALGUNAS EMPRESAS 3

4 EL DELEGADO DE PROTECCIÓN DE DATOS (DPO) PROPUESTA DE REGLAMENTO EUROPEO DE PROTECCIÓN DE DATOS Una persona debe ayudar al responsable (o encargado) del tratamiento a supervisar la observancia interna del Reglamento. Quién? El Delegado de Protección de Datos (Data Protection Officer DPO) Siempre En el sector público Empresa (250 o + empleados) Persona jurídica (tratamiento datos > interesados en 12 meses) Actividades que impliquen tratamientos que, según naturaleza, alcance y/o fines requieran seguimiento periódico y sistemático de los interesados Tratamiento datos sensibles (creencias, orientación sexual, ), datos de localización, o de niños o empleados en ficheros a gran escala 4

5 EL DELEGADO DE PROTECCIÓN DE DATOS (DPO) DPO COMÚN Grupo de empresas (> 250) Fácilmente accesible desde cada una y al menos un DPO por EM Entidades públicas DPO FACULTATIVO, PODRÁN NOMBRARLO: Encargados y responsables del tratamiento Asociaciones y organismos que representen categorías de responsables o encargados 5

6 REQUISITOS: CUALIDADES PROFESIONALES CONOCIMIENTOS ESPECIALIZADOS DE LA LEGISLACIÓN Protección de datos, procedimientos administrativos, laboral, empresas, sectorial, PRÁCTICAS EN PROTECCIÓN DE DATOS Experiencia en consultoría de protección de datos Experiencia en gestión de organizaciones Experiencia en aplicación de la normativa en organizaciones CAPACIDAD PARA EJECUTAR TAREAS ENCOMENDADAS Conocimiento de la organización: negocio y procesos operativos y de toma decisiones Experiencia en formación Capacidad de mediación (no ser visto como obstáculo) EVALUACIÓN CONOCIMIENTOS ESPECIALIZADOS En función tratamiento datos En función protección exigida para los datos personales 6

7 ESTATUTO DEL DPO Empleado de la organización o externo desempeñando sus tareas sobre la base de un contrato de servicios Independencia en el desempeño de tareas y funciones Mandato 2 años prorrogables. 4/2 años prorrogables Destitución sólo si deja de reunir requisitos para su función Independientes, no reciben instrucciones. Informa directamente a la dirección. Respaldo del responsable y encargado y garantía de la independencia. Obligación secreto tratamiento datos Provisión de los recursos necesarios por el responsable y el encargado (locales y equipamiento, ). Todos los medios para mantener sus conocimientos profesionales Comunicación nombre y datos contacto a las APD y al público Acceso por interesados y ejercicio de derechos 7

8 ESTATUTO DEL DPO El responsable y el encargado velarán por que el DPO se implique adecuadamente y en su debido momento en todas las cuestiones relativas a la protección de datos personales Adecuadamente: Exclusividad en el desarrollo de sus funciones interna o externas? El responsable y el encargado velarán por que las otras funciones profesionales sean compatibles con las tareas y funciones del DPO y no planteen conflictos de intereses Implicación en su debido momento Protección de datos desde el diseño Protección de datos por defecto (minimización) Evaluación de impacto (PIA) Notificación de brechas de seguridad 8

9 FUNCIONES MÍNIMAS DEL DPO SENSIBILIZAR, INFORMAR Y ASESORAR SOBRE LAS OBLIGACIONES DEL REGLAMENTO Documentar esta actividad y las respuestas recibidas Comprobar conformidad tratamiento en el marco del mecanismo consulta previa Informar representantes trabajadores sobre el tratamiento de sus datos SUPERVISAR Implementación y aplicación de las políticas del responsable o encargado: Asignación de responsabilidades, formación del personal y auditorías Protección de datos desde el diseño y por defecto 9

10 FUNCIONES MÍNIMAS DEL DPO Seguridad de los datos Información a los interesados Solicitudes de ejercicio de derechos Brechas de seguridad (documentación, notificación y comunicación) Realización de evaluaciones de impacto (PIA) Solicitudes de autorización o consulta previa a la APD Respuesta a las solicitudes de la APD VELAR POR LA CONSERVACIÓN DE LA DOCUMENTACIÓN PUNTO DE CONTACTO FLUIDO CON APD Cooperar con APD (previa solicitud o por iniciativa propia) Punto de contacto y consultas, si procede, a iniciativa propia 10

11 EL DELEGADO DE PROTECCIÓN DE DATOS (DPO) Consejo JAI de 7 marzo 2013 The Presidency concluded that, at the technical level, the work should continue along the following lines: the designation of a data protection officer should be optional 11

12 NO DISTINCIÓN PARTICULARES - ADMINISTRACIÓN PÚBLICA NO DESIGNAR DPO MULTA HASTA o 2% VOLUMEN ANUAL DE NEGOCIO P.E: SANCIONES A QUIENES NO CUMPLAN CON LAS OBLIGACIONES DEL REGLAMENTO: Advertencia escrita (primer incumplimiento no deliberado) Auditorías periódicas Multa hasta 100 M. o el 5% volumen anual de negocios a escala mundial si se trata de empresa y fuera mayor FACTORES A TENER EN CUENTA: Designación del DPO RÉGIMEN SANCIONADOR 12

13 PREVISIONES DE FUTURO FUTURO DE LA PROPUESTA: Vera Jourova, Comisaría de Justicia, Consumidores e Igualdad de Género, ha manifestado en la Audiencia ante el PE su intención de que el paquete de reformas en protección de datos se adopte en los 6 primeros meses de su mandato (abril-mayo 2015?) ARTÍCULO 91.2: Será aplicable a partir de dos años a partir de la fecha de entrada en vigor a los 20 días de su publicación oficial-. 13