Delegado de protección de datos externo

Muchas empresas están obligadas a designar un delegado de protección de datos y no cuentan internamente con nadie que tenga los conocimientos necesarios, esté libre de conflictos de intereses y disponga del tiempo para ello. Un delegado externo lo resuelve: usted obtiene los conocimientos sin crear un puesto, y la función no depende de su planificación de personal.

Actualmente estamos designados como delegados de protección de datos externos para clientes en Renania-Palatinado y Renania del Norte-Westfalia. Como diseñamos y operamos sistemas informáticos nosotros mismos, evaluamos las medidas técnicas desde nuestra propia práctica y no solo con una lista de comprobación.

¿Necesita un delegado de protección de datos?

Según el § 38 BDSG, debe designarse un delegado de protección de datos cuando, por regla general, al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos personales. Con independencia del número de personas empleadas, la obligación existe además cuando

• los tratamientos requieren una evaluación de impacto relativa a la protección de datos,
• se tratan datos personales de forma comercial con fines de transmisión o de estudios de mercado y opinión,
• su actividad principal consiste en la observación habitual y sistemática de personas a gran escala (art. 37 RGPD), o
• su actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos, como los datos de salud (art. 37 RGPD).

El Gobierno federal alemán ha anunciado su intención de suprimir el umbral nacional de 20 personas. Las obligaciones del propio RGPD —registro de actividades de tratamiento, deberes de información, derechos de los interesados, notificación de brechas de seguridad— no se ven afectadas. Incluso quien ya no tenga que designar un delegado necesitará, por tanto, a alguien que vigile estas obligaciones. Si le afecta y en qué medida lo aclaramos en una primera conversación.

¿Por qué externo?

• Conocimientos especializados desde el primer día, sin formar a su propio personal
• Sin conflictos de intereses: la dirección, la jefatura de TI o el departamento de personal no pueden, por regla general, asumir la función
• Sin la protección especial frente al despido de la que goza un delegado designado internamente (§ 38, apdo. 2, en relación con el § 6, apdo. 4, BDSG)
• Costes previsibles en lugar de un puesto adicional

Lo que asumimos como delegados de protección de datos

• Información y asesoramiento a la dirección y al personal sobre sus obligaciones en materia de protección de datos
• Supervisión del cumplimiento del RGPD, de la BDSG y de sus normas internas de protección de datos
• Formación y sensibilización del personal
• Asesoramiento sobre nuevos tratamientos y evaluaciones de impacto antes de su implantación
• Revisión de contratos de encargo del tratamiento y de proveedores de servicios
• Punto de contacto para los interesados que solicitan información o desean reclamar
• Acompañamiento en brechas de seguridad, incluida la valoración de la obligación de notificar en 72 horas
• Cooperación con la autoridad de control competente (en Renania-Palatinado el LfDI, en Renania del Norte-Westfalia la LDI NRW)

Cómo trabajamos

Empezamos con un análisis de la situación: ¿qué tratamientos existen, qué documentación hay, dónde están las lagunas? A partir de ahí elaboramos un plan de medidas ordenado por riesgo y esfuerzo. Tras la designación, nuestros datos de contacto deben publicarse y comunicarse a la autoridad de control (art. 37, apdo. 7, RGPD); también le ayudamos en ello.

En el acompañamiento continuo estamos disponibles cuando surge una pregunta, no solo en la próxima cita. Mucho se puede resolver por teléfono o videoconferencia; acudimos en persona cuando el asunto lo requiere: auditorías, formaciones e inspecciones.