Certificación Delegado Protección Datos

Certificado Delegado Protección Datos

 

Como sabemos, el Reglamento General de Protección de Datos Europeo, exige –entre otras cosas- la designación de un Delegado de Protección de Datos en el caso de las Administraciones Públicas, de entidades que realicen una observación habitual y sistemática de las personas a gran escala, y de entidades que tengan entre sus actividades principales el tratamiento, también a gran escala, de datos sensibles.

Y tal y como sucede con casi todas las novedades legislativas, mucho se está hablando de esta figura y continuamente se está generando confusión e ideas erróneas.

Hace poco, precisamente, presentaba la Agencia Española de Protección de Datos su Esquema de Certificación de Delegados de Protección de Datos, junto a ENAC, y ya se comienza a hablar de la obligatoriedad de que tu Delegado de Protección de Datos esté certificado.

Pero eso es incorrecto.

Una cosa es que sea recomendable establecer sistema de certificación, y otra que el Reglamente Europeo lo exija.

Ninguna norma impone la obligación de que el Delegado de Protección de Datos esté certificado.

No obstante (entiendo que claramente por intereses económicos de Certificadoras y otros organismos), se está dando gran importancia a la certificación. El mensaje que se lanza es que si bien no es obligatoria, es garantía de profesionalidad.

En mi opinión, poco garantizan la mayoría de las veces estas certificaciones. A mí lo único que me dejan claro es que alguien ha pagado más de mil euros por obtener un título (para que encima no te lo den, claro…). De hecho, he asistido a más de un proceso de certificación y risa me da lo que allí se ha certificado.

Pero claro, el negocio es el negocio.

Dice literalmente la AEPD en su comunicado que:

“La AEPD ha optado por promover un sistema de certificación de DPD con el objetivo de ofrecer seguridad y fiabilidad tanto a los profesionales de la privacidad como a las empresas y entidades que van a incorporar esta figura a sus organizaciones, ofreciendo un mecanismo que permite certificar que los DPD reúnen la cualificación profesional y los conocimientos requeridos. Las certificaciones serán otorgadas por entidades certificadoras debidamente acreditadas por ENAC, siguiendo criterios de acreditación y certificación elaborados por la AEPD en colaboración con los sectores afectados.

“La certificación no es la única vía para ser DPD y en ningún caso será obligatorio utilizar un determinado esquema, si bien la Agencia ha considerado necesario ofrecer un punto de referencia al mercado sobre los contenidos y elementos de un mecanismo de certificación que pueda servir como garantía para acreditar la cualificación y capacidad profesional de los candidatos a Delegado de Protección de Datos.”

Registro de actividades

Inscripción ficheros y registro actividades

Una de las novedades que introduce el Reglamento General Europeo de Protección de datos es que desaparece la obligación de inscribir los ficheros en el Registro de la Agencia Española de Protección de Datos (AEPD).

No obstante, la obligación queda sustituida por otra similar: la obligación de tener un REGISTRO DE ACTIVIDADES.

Veamos qué es eso exactamente:

Lo dice su artículo 30: el responsable de fichero y, en su caso, su representante llevarán un registro de actividades de tratamiento efectuadas bajo su responsabilidad. Lo que se traduce en la obligación de describir qué datos se recogen, con qué fin se tratan, a quién o quiénes se comunican, si se transfieren a terceros países, qué medidas técnicas y organizativas se aplicará para preservar su seguridad, y cuándo se puede proceder a su  supresión.

Es un control muy similar al que se viene realizando a través de los formularios NOTA, para la inscripción de ficheros en el Registro de la AEPD, salvo por algún detalle.

En el formulario NOTA se ha de hacer constar quién recoge datos y sus datos de contacto exactos, qué datos se recogen, con qué fin, de quién se recogen, qué medidas de seguridad se van tomar sobre los mismos, si el fichero es automatizado, manual o mixto y si esos datos van a cederse a terceros o si van a transferirse fuera del Espacio Económico Europeo.

El contenido no se modifica a penas, pero sí la forma.

No habrá que formalizar esta obligación mediante la inscripción obligatoria por el formulario NOTA, pero sí llevar el REGISTRO DE ACTIVIDADES  a nivel interno.

Y como indica la propia AEPD, “la existencia del Registro de Ficheros puede convertirse en una herramienta de ayuda y un punto de partida ante la tarea que será obligatoria a partir del 25 de mayo de 2018.”

Es decir, que si bien el referido Registro pierde su obligatoriedad, sí que sirve como modelo y punto de partida para hacer el Registro de Actividades.

Mi opinión personal es que resulta una modificación poco afortunada, ya que el Registro público al menos otorgaba certeza al ciudadano sobre la identidad del responsable de fichero y la forma en que podía contactarse con el mismo.

Encargado de tratamiento en el Reglamento Europeo

¿Cómo redacto un contrato con el encargado de tratamiento según el Reglamento Europeo de Protección de Datos?

La Agencia Española de Protección de Datos ha publicado hace poco un documento titulado DIRECTRICES PARA LA ELABORACIÓN DE CONTRATOS ENTRE RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO, basado en las novedades del nuevo Reglamento Europeo de Protección de Datos.

Según dicho Reglamento, se entiendo por Encargado de tratamiento, la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable de ficheros, y que conlleva tratamiento de datos personales por cuenta de dicho responsable.

Para distinguir cuándo hablamos de encargado de tratamiento y cuándo de responsable de ficheros, hay que tener en cuenta que el responsable es siempre quien decide sobre la finalidad y los usos de la información, y el encargado quien sigue sus instrucciones. Éste no puede nunca usar los datos para fines propios.

Es importante tener en cuenta que el Reglamento Europeo impone al responsable de ficheros un deber de diligencia en la elección del encargado de tratamiento que le ha de prestar servicios. No se puede elegir cualquier encargado, sino sólo aquel que cumple las medidas de seguridad reglamentarias y demás preceptos del referido reglamento.

Igualmente importante es la formalización de un contrato o acto jurídico entre el responsable y el encargado de tratamiento, que debe estar sujeto a una serie de parámetros.

Veamos cuáles son a continuación:

1º. El contrato debe contener las instrucciones del responsable al encargado del tratamiento: debe quedar totalmente claro en qué consiste el encargo.

2º. Deber de confidencialidad: habrá que definir cómo va a hacer posible el encargado de tratamiento, el secreto sobre el tratamiento de los datos que lleva a cabo, garantizando que su personal lo respetará.

3º. Medidas de seguridad: en el contrato se ha de recoger la obligación del encargado de adoptar todas las medidas de seguridad exigidas por el Reglamento.

4º. Subcontratación: el contrato regulará el régimen de subcontratación en caso de que se produzca.

5º. Derechos de los interesados: se ha de regular de qué manera el encargado de tratamiento asistirá al responsable en el cumplimiento de la obligación de responder a las solicitudes de derechos de acceso, rectificación, supresión, limitación, portabilidad, oposición…

6º. Colaboración en el cumplimiento de las obligaciones del responsable: el contrato establecerá la forma en que el encargado ayudará al responsable a garantizar el cumplimiento de las obligaciones sobre medidas de seguridad, notificación de violaciones, comunicación de las mismas a los afectados, realización de evaluaciones de impacto y realización de consultas previas.

7º. Destino de los datos al finalizar la prestación: el contrato establecerá cómo se han de tratar los datos una vez finalizado el encargo, y si por tanto, se destruirán o  se devolverán al responsable.

8º. Colaboración con el responsable para demostrar el cumplimiento: el contrato contendrá la obligación del encargado de poner a disposición del responsable toda la información precisa para demostrar el cumplimiento de las obligaciones reglamentarias.

En los anexos del documento de Directrices del que estamos hablando, se proporcionan modelos de contrato para firmar entre el responsable de tratamiento y el encargado.

Se pueden consultar aquí, pinchando en DIRECTRICES PARA LA ELABORACIÓN DE CONTRATOS ENTRE RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO:

http://www.agpd.es/portalwebAGPD/temas/reglamento/index-ides-idphp.php